@RhysSullivan: 刚刚在我机器上启用了 npm 包安装的最小年龄限制，早就该这么做了，如果你还没做的话……
摘要
一位开发者分享了一个技巧，为包安装配置最小发布年龄以缓解供应链攻击。
刚刚在我机器上启用了 npm 包安装的最小年龄限制，早就该这么做了，如果你还没做的话，这里有一个给你的编程助手的提示让你配置它：""找到你的包管理器（bun/pnpm/npm/yarn）并为安装配置 3 天的最小发布年龄/冷却期以减弱供应链攻击。排除我的工作区范围。在写入之前验证当前文档中的确切配置键。"
相似文章
@altryne: 公开提醒：如果你尚未了解最新的供应链攻击，或者知道但无动于衷且未采取任何措施，尤其是……
一则关于通过 npm 和 PyPI 针对 AI 开发者工具（Hermes、OpenClaw）的供应链攻击的公开提醒，特别是名为“Mini-Shai Hulud”的蠕虫病毒，它能自我复制并窃取凭据、API 密钥和浏览器会话。文章建议使用沙盒执行并限制软件包年龄以降低风险。
Show HN: Safe-install – 通过可信构建依赖实现更安全的 NPM 安装
介绍了一个名为 safe-install 的新 npm 包，旨在通过允许开发者默认禁用安装脚本并屏蔽异类子依赖来增强供应链安全，从而应对持续存在的安全漏洞。
@DeRonin_: 使用本指南保护你的计算机免受 NPM 攻击，这些攻击会在一次安装中窃取一切。TanStack，一个代码库使用……
本文详细介绍了针对 NPM 上 TanStack 库的供应链攻击，并提供了一份全面的指南，通过锁定依赖项发布年龄、固定版本以及对 CI/CD 流水线和 IDE 扩展进行审计，来保护开发环境的安全。
无法预防这种情况，唯一频繁发生此类事件的包管理器如此表示
讽刺文章指出npm注册表中反复出现的供应链攻击，与Go和Rust等更安全的生态系统形成对比，并嘲笑JavaScript社区对这种漏洞的接受态度。
npm 的分阶段发布和新的安装时控制
npm 引入了分阶段发布，要求通过双因素认证（2FA）进行人工审批才能发布包，并新增了 `--allow-*` 标志（file、remote、directory）来控制安装源，从而提高了 npm CLI 11.15.0 的供应链安全性。