add npm lockdown