Open geeeger opened 3 years ago
近期同事问了个奇怪的问题,为啥他这个项目 npm install失败。 看了亿下报错信息,npm去奇怪的源站下载包去了。
于是我当即就下了结论:
同事反馈,没有奇怪的改动
于是我当即就下了结论:
我去把项目拉下来看了亿下,又问了相关安全从业者有没有什么工作经验。 “没有”
但是我突然发现package-lock 中包的resolved指向了奇怪的地址。
通过淘宝源安装自己的包,发现被分流到了其他cdn上。
得出结论:几个月前淘宝npm可能出现了安全问题。
写了一个工具,去npm官方网站上拉取接口,对比本地包pacakge.json里的shasum是否一致,发现均一致,没有被投中,就放弃了后续的探索。
https://github.com/geeeger/node-modules-which-is-modified
检测包脚本,只检测到深度为1
近期同事问了个奇怪的问题,为啥他这个项目 npm install失败。 看了亿下报错信息,npm去奇怪的源站下载包去了。
于是我当即就下了结论:
同事反馈,没有奇怪的改动
于是我当即就下了结论:
我去把项目拉下来看了亿下,又问了相关安全从业者有没有什么工作经验。 “没有”
但是我突然发现package-lock 中包的resolved指向了奇怪的地址。
通过淘宝源安装自己的包,发现被分流到了其他cdn上。
得出结论:几个月前淘宝npm可能出现了安全问题。
写了一个工具,去npm官方网站上拉取接口,对比本地包pacakge.json里的shasum是否一致,发现均一致,没有被投中,就放弃了后续的探索。