開発者の自己申告だけで更新できるパッケージマネージャを使うこと自体が問題で
npmはその中でも抜けて仕組み自体が酷いと言われ続けてるのに、未だに使ってるから…