很多项目不是被自己的代码拖垮的，而是被别人的代码拖垮的。一次 npm install 拉进上千个包，构建日志里躺着一堆叫不出名字的依赖，某天其中一个包发了个小版…