Ребят, а у кого ещё на проде ночью библиотеки сами обновляются

да даже без препрода - достаточно корректно настроить ci и зависимости не будут сами обновляться

даже команда у npm отдельно для использования в пайплайнах есть npm ci
тогда деплой будет постоянно с одним и тем же набором зависимостей Ответить

из серии можно, а зачем... теперь скрин выше, это ответ на вопрос зачем Ответить

если прод сам обновляет до минорных версий, да еще и библиотеки без обратной совместимости, то за прод руки девопсу оторвать, а за выбор библиотеки - техлиду Ответить

байт на комменты
Из этого весь тредс состоит Ответить

Это фейк, ничего само по ночам не обновляется Ответить

В ВордПресе тоже такая история, нужно отключать авто обновления, чтобы не дай бог что то сломалось Ответить

есть вероятность автообновления. В одном проекте стоял ci/cd, запускался по ночам. И если npm audit находит критическую уязвимость, запускает автообновление пакета. Прогоняет тесты и заливает на сервер. Если какой-то функционал тестами нормально не покрыт, то конечно есть риск появления ошибки. Но выбирать между безопасностью и таким риском - в некоторых проектах безопасность превыше всего... Ответить

Не обновляются, делается Лок файл пакетов чтобы такого не было. Айтишники накосячили Ответить