結論から先に書くと以下のコマンドをコマンドライン(あるいはパワーシェル）で入れればいいだけでした。

PS c:\> Set-ExecutionPolicy RemoteSigned -Scope CurrentUser

そもそも何が起きていたか

Windowsでnpmをインストールすると、npmコマンドの実体は実はPowerShellスクリプト(npm.ps1)として用意されています。つまり npm install と打つと、裏側では PowerShell がこのスクリプトファイルを実行しようとしています。

ここでポイントになるのが、PowerShellには**実行ポリシー(Execution Policy)**という安全装置があることです。

Windowsに元々入っているPowerShellでは、デフォルトの実行ポリシーが Restricted(制限あり)になっていることが多く、これは「どんな .ps1 スクリプトも実行させない」という設定です。

つまり npm 自体は正しくインストールされているのに、「npm.ps1というスクリプトを実行していいですか?」とPowerShellに聞かれ、「いいえ、絶対ダメです」と最初からブロックされている状態だったわけです。これが npm コマンドが使えなかった理由です。

なぜこんな厳しい設定になっているのか

これは「悪意のあるスクリプトを誤って実行してしまう」ことを防ぐためです。例えば怪しいメールの添付ファイルやダウンロードしたファイルに .ps1 スクリプトが紛れ込んでいて、それが意図せず実行されてシステムを壊されたり、情報を盗まれたりするのを防ぐ、いわば「デフォルトで鍵をかけておく」設計思想です。

コマンドの意味を分解する

powershell
Set-ExecutionPolicy RemoteSigned -Scope CurrentUser

Set-ExecutionPolicy:実行ポリシー(スクリプトを実行してよいかのルール)を変更するコマンド
RemoteSigned:「自分のPC内で作った/インストールしたスクリプトは実行OK。ただしインターネット経由でダウンロードしたスクリプトは、信頼できる発行元の署名がないと実行しない」という、程よい安全性を保ったポリシー
-Scope CurrentUser:この設定変更を「今使っているユーザーアカウントだけ」に適用する(PC全体・全ユーザーには影響させない)という指定

つまりこのコマンドは、「PCに元から入っているnpmのようなツールはちゃんと動かせるようにしつつ、それ以外の知らないスクリプトについては引き続き警戒する」という、バランスの取れた設定に変更している、というわけです。

補足:なぜmacOS/Linuxでは起きないのか

macOSやLinuxではnpmが .sh スクリプトやシェルコマンドとして動くため、Windowsのようなこの種の実行ポリシーの壁がなく、この問題は基本的に発生しません。Windows特有のPowerShellのセキュリティ機構によるものです。