Bezpieczeństwo aplikacji webowych · Junior · Pytanie 74 z 75
Dlaczego plik lock (package-lock.json) trzeba commitować, a w CI instalować zależności przez npm ci?
- 1Bo
npm ciinstaluje pakiety bez pobierania - ✓Poprawna odpowiedź: By każdy build dostawał dokładnie te same, sprawdzone wersje zależności, a nie nowsze, być może przejęte
- 3Bo plik lock szyfruje wszystkie zależności
Wyjaśnienie
Bez pliku lock zakres wersji może pobrać świeżo opublikowane złośliwe wydanie. npm ci kończy się błędem, gdy plik lock i package.json się nie zgadzają.