Sicherheit von Webanwendungen · Junior · Frage 74 von 75
Warum sollte die Lockfile (package-lock.json) eingecheckt und in der CI mit npm ci installiert werden?
- 1Weil
npm ciPakete installiert, ohne sie herunterzuladen - 2Damit jeder Build genau dieselben geprüften Versionen bekommt
- 3Weil die Lockfile alle Abhängigkeiten verschlüsselt
Antwort zeigen
Richtige Antwort: Damit jeder Build genau dieselben geprüften Versionen bekommt
Erklärung
Ohne Lockfile kann ein Versionsbereich ein frisch veröffentlichtes bösartiges Release ziehen. npm ci scheitert, wenn Lockfile und package.json nicht übereinstimmen.