По двум файлам в корне проекта. Описание проекта перечисляет объявленные зависимости и допустимые диапазоны версий, а файл блокировки фиксирует точный набор установленных пакетов, включая косвенные, с версиями и указанием источника, из которого каждый получен. Вместе они позволяют восстановить состав библиотек на дату, к которой относится копия.
Каталог с установленными пакетами по объёму часто превосходит остальной проект. Считать его работой подрядчика нельзя, но и вовсе игнорировать неверно: подобрать библиотеки и вовремя их обновлять — тоже труд, который оценивается отдельно от строк кода.
Условия использования каждой библиотеки указаны в её описании. Эксперт устанавливает, какая лицензия сопровождает пакет и какие требования она содержит; правовую оценку соблюдения этих условий даёт суд.