package-lock.json과 npm ci, 설치 결과를 고정하는 법
package.json에는 허용할 버전 범위만 적혀 있어서 설치할 때마다 다른 버전이 골라질 수 있다. lockfile이 무엇을 기록하는지, 배포에서는 왜 npm install 대신 npm ci를 쓰는지 설명한다.
공급망
공급망에 관한 2개의 기록을 모았습니다.
하위 리소스 무결성(SRI), integrity 속성이 하는 일
CDN에서 복사해 온 script 태그의 integrity 값은 그 파일의 해시다. 브라우저가 받은 파일을 이 값과 대조해 다르면 실행하지 않는 원리와, 정상 업데이트까지 막히는 이유를 설명한다.