👋🏻 Привет! С вами снова Merion Academy - платформа доступного IT образования. Эта статья послужит хорошим руководством по вашему любимому верному спутнику Node.js – npm. Node.js штурмует мир с 2009 года. Сотни тысяч систем были построены с помощью Node.js, что побудило сообщество разработчиков заявить, что «JavaScript поглощает программное обеспечение». Одним из составляющий успеха Node стал npm – его популярный диспетчер пакетов, который позволяет разработчикам JavaScript быстро и легко обмениваться полезными пакетами, такими как lodash и moment...

Перед релизом вы запускаете проверку зависимостей и находите чуждую этому проекту библиотеку. Её никто в команде не добавлял напрямую: она пришла как транзитивная зависимость одного из пакетов, который вы сами подключили. Теперь нужно выяснить, используется ли уязвимый код из этой библиотеки в приложении. Для этого придется определить, через какую цепочку зависимостей была установлена эта библиотека и что именно необходимо менять: саму библиотеку или пакет выше по цепочке, подключающий её. Так исправление, лежащее в обновлённом lock-файле репозитория, дойдёт до продакшена...