# Az ezer függőséged auditja egy délután alatt

> Ezer csomagot senki nem olvas végig; mindenki futtatja őket. Az unalmas kontrollok, amik túlélhetővé teszik a beszállítóláncot.

Az átlagos npm-install több száz tranzitív csomagot húz be — mindegyik egy idegen kódja a felhasználóid adatának hatótávjában. Végigolvasni nem tudod őket — de eldöntheted, mely idegeneket futtatod, pontosan tudhatod, mi van telepítve éppen, és gyorsan észreveheted, ha valamelyik ellenségessé válik. Ez a kontrollok munkahalmaza, a megtérülésük sorrendjében.

## A lockfile a nyilvántartás

Commitáld a lockfile-t, és a telepítés reprodukálható — a CI azt építi, amit átnéztél, nem azt, amit a registry ma ad. A CI-ben a fádat módosító „npm install” a csendes módja annak, hogy alattad cserélődjön a függőségverzió.

## Szkennelj folyamatosan, nem egyszer

A CI-szkennerek minden buildnél jelzik az ismert CVE-ket; a heti Dependabot- vagy Renovate-PR-ek tartják a fát megkövülés nélkül. Egyik sem szünteti a kockázatot — mindkettő a „valahol lehetünk sebezhetőek”-ből véges, átnézhető listát csinál.

## Kevesebb, öregebb, jobban gondozott

A legerősebb kontroll a kevesebb függőség: a hárommainteneres, heti kiadású csomag más kockázat, mint a múlt keddi publikálású. Mindenre, ami pénzhez, authhoz vagy ügyféladathoz nyúl, az ötven sor megírása gyakran az asztalon levő legolcsóbb opció.

## Amit érdemes elvinni

- Commitáld a lockfile-t — a CI azt építi, amit átnéztél.
- CVE-szkennelés CI-ben plusz heti update-PR-ek.
- Válassz kevesebb, öregebb, karbantartott csomagot.
- Pénzhez, authhoz, ügyféladathoz az ötven sor olcsóbb egy függőségnél.

## Címkék

Supply chain, npm, Security, CI

## Ezt is megépítjük

https://dfieldsolutions.hu/hu/szolgaltatasok/cybersecurity

## Több a laborból

- https://dfieldsolutions.hu/hu/labor/prompt-injection-playbook.md — Prompt injection éles agentekben
- https://dfieldsolutions.hu/hu/labor/ai-security-self-audit.md — AI biztonsági öntest
- https://dfieldsolutions.hu/hu/labor/mcp-servers-production.md — MCP-szerverek élesben, nem demóban
- https://dfieldsolutions.hu/hu/labor/prompt-evals.md — A prompt kód: evaluáld úgy, mint a kódot

---

Source: https://dfieldsolutions.hu/hu/labor/dependency-hygiene
DField Solutions — Dunakeszi, Hungary — dezso@dfieldsolutions.com
Booking: see https://dfieldsolutions.hu/en/contact