npm: package.json の files を必ず設定し、npm pack --dry-run で公開内容を確かめる
files を設定しないと、.env や下書き・テスト用データなど、公開するつもりのないファイルまで npm publish されることがある。公開するものを許可リストで指定するのが安全。
設定例
json
{
"name": "my-lib",
"files": ["dist", "README.md"],
"main": "./dist/index.js",
"types": "./dist/index.d.ts"
}公開前の確認:
bash
npm pack --dry-run # 実際に含まれるファイル一覧とサイズが出る注意点
.npmignore（除外リスト）より、files（許可リスト）の方が新しく増えたファイルが漏れにくい。package.json・README・LICENSEはfilesに書かなくても常に含まれる。- CI での publish 前に
npm pack --dry-runの結果をログに残しておくと、事故に気づきやすい。