最近の検索
検索オプション
や、それについては lockfile をもっと尊重してパッケージの個別のアップデートで確認を入れるみたいなやり方がある (やってるツールがあるか知らんけど)
要は依存のアップデートで全部が一度に勝手に上げられてしまうのがいけないわけで、その前に個別に changelog 的なものが出ていちいち確認してもいいんじゃない？ という
まあもちろん、悪意 (?) があって changelog に入っていない変更についてはコードレビューしないとどうしようもないわけで、その点でサプライチェーン攻撃への防衛としては不完全ではあるけど