npm包安装时，preinstall和install脚本会在用户使用任何代码前自动执行，这意味着恶意包可能在毫不知情的情况下运行任意代码。攻击者可利用这一机制窃取环境变量、植入后门或执行其他恶意操作。安全专家提醒，开发者在安装未知来源的npm包前务必谨慎审查package.json中的脚本配置，企业应建立依赖包安全审计机制，避免因便利的包管理生态而引入潜在威胁。
🔗 原文链接：https://x.com/JDSalbego/status/2109283165709783242
© 版权声明
文章版权归作者所有，未经允许请勿转载。
THE END
