Show HN: Safe-install – 通过可信构建依赖实现更安全的 NPM 安装

Hacker News Top 工具
supply-chain-security npm developer-tools javascript security

摘要

介绍了一个名为 safe-install 的新 npm 包，旨在通过允许开发者默认禁用安装脚本并屏蔽异类子依赖来增强供应链安全，从而应对持续存在的安全漏洞。

鉴于 npm 供应链持续遭受入侵，我构建了 safe-install： <p><a href="https://www.npmjs.com/package/@gkiely/safe-install" rel="nofollow">https://www.npmjs.com/package/@gkiely/safe-install</a> 它提供了几项我希望 npm 内置但未实现的保护机制。 类似于 Bun 的可信依赖功能，它允许你默认禁用安装脚本，并定义一个允许运行构建/安装脚本的依赖列表： <p><a href="https://bun.com/docs/guides/install/trusted" rel="nofollow">https://bun.com/docs/guides/install/trusted</a> 它还支持屏蔽异类子依赖，类似于 pnpm 的 `blockExoticSubdeps` 设置： <p><a href="https://gajus.com/blog/3-pnpm-settings-to-protect-yourself-from-supply-chain-attacks#2-set-blockexoticsubdeps" rel="nofollow">https://gajus.com/blog/3-pnpm-settings-to-protect-yourself-f...</a> 我曾希望 npm 最终会添加类似的功能，但这似乎短期内不会实现，因此我制作了这个小型包。
查看原文

相似文章

人人都该从 npmx 偷学的功能

Lobsters Hottest

npmx 是一个 MIT 授权的 npm 仓库替代前端，它在安全与可用性上做了增强：展示传递式安装体积、暴露安装脚本、可视化过期/含漏洞依赖树，还逼得 npmjs.com 终于上线了深色模式。