面试题：dependencies 与 devDependencies？lock 文件要不要提交？

分类

运行时依赖放 dependencies；构建/测试放 devDependencies。

Lock

应用项目提交 lock 保证可复现安装；库常不提交或团队约定统一。

安全

npm audit、最小权限、定期升级。