Веб-безпека · Junior · Запитання 74 з 75
Чому lock-файл (package-lock.json) треба комітити й у CI встановлювати залежності через npm ci?
- 1Бо
npm ciвстановлює пакети без завантаження - ✓Правильна відповідь: Щоб кожне збирання отримувало ті самі перевірені версії залежностей, а не новіші, можливо скомпрометовані
- 3Бо lock-файл шифрує всі залежності
Пояснення
Без lock-файла діапазон версій може підтягнути щойно опублікований шкідливий реліз. npm ci падає, якщо lock-файл і package.json не збігаються.