Выбор ответа Middle Код-ревью и правила команды обновлено
Новая зависимость от ассистента
Вопрос
Ассистент добавил в пулреквест новый npm-пакет с похожим на популярный названием. Что проверить в первую очередь?
Попробуйте сами
Выберите вариант, и откроется разбор.
Показать ответ и разбор
Коротко
Правильный ответ: Что пакет реально существует, поддерживается и с нужной лицензией. Модели иногда выдумывают имена пакетов, а злоумышленники регистрируют такие имена с вредоносным кодом.
Варианты ответа
- Что пакет установился без ошибок и проект собирается
- Что у пакета есть описание в файле README на английском
- Что версия пакета указана точно, без знака диапазона
- Что пакет реально существует, поддерживается и с нужной лицензиейправильный ответ
Разбор
Модели иногда выдумывают имена пакетов, а злоумышленники регистрируют такие имена с вредоносным кодом. Поэтому новую зависимость проверяют: настоящий ли это пакет, кто его поддерживает, сколько у него пользователей, какая лицензия. Успешная установка как раз ничего не доказывает.
Ответьте сами, а не прочитайте
В тренажёре вопрос попадёт в повторения и вернётся, когда начнёт забываться. Плюс билеты с зачётом: 20 вопросов, не больше 2 ошибок.