npm包安装即执行代码：潜在安全风险引关注

安全研究人员提醒，npm包在正式使用前就可能在用户电脑上执行任意代码。攻击者可利用package.json中的preinstall、postinstall等钩子脚本，在包安装过程中植入恶意代码。由于安装命令通常具有较高权限，攻击者可借此实现持久化控制或窃取敏感信息。专家建议：安装陌生包前仔细检查package.json，审阅所有脚本命令，必要时使用–ignore-scripts参数跳过自动执行。🔗 原文链接：https://x.com/JDSalbego/status/2109283165709783242