Выбор ответа Junior Зависимости и supply chain обновлено
npm ci против npm install
Вопрос
Почему в CI используют npm ci, а не npm install?
Попробуйте сами
Выберите вариант, и откроется разбор.
Показать ответ и разбор
Коротко
Правильный ответ: Ставит строго версии из lock-файла и падает при расхождении с package.json. npm install может обновить lock-файл и подтянуть новую версию в пределах диапазона, включая только что опубликованную вредоносную. npm ci использует ровно зафиксированное дерево с хешами integrity.
Варианты ответа
- Ставит строго версии из lock-файла и падает при расхождении с package.jsonправильный ответ
npm ciбыстрее скачивает пакеты по HTTP/3 и параллельно из нескольких зеркалnpm ciпроверяет каждый пакет встроенным антивирусом и хешем из реестраnpm ciне выполняет никаких скриптов пакетов, включая postinstall и prepare
Разбор
npm install может обновить lock-файл и подтянуть новую версию в пределах диапазона, включая только что опубликованную вредоносную. npm ci использует ровно зафиксированное дерево с хешами integrity. Антивируса нет, а скрипты установки выполняются, если не передать --ignore-scripts.
Ответьте сами, а не прочитайте
В тренажёре вопрос попадёт в повторения и вернётся, когда начнёт забываться. Плюс билеты с зачётом: 20 вопросов, не больше 2 ошибок.