Blog/Tags

供应链安全

3 related articles

2026 npm 供应链攻击复盘:重大案例、平台响应与 CI 防御清单

复盘 2026 年 npm 生态的重大供应链攻击:依赖包投毒、typosquat 窃取云凭据与 CI 密钥的手法拆解,官方与平台的响应措施,以及团队现在就能落地的锁版本、白名单与审计防御清单。

基于 npm 12 正式安全默认值，讲解安装脚本 allowScripts 审查、Git 与远程依赖治理、严格 CI 验证、原生模块排错及生产回滚。

详解 npm 发布前恶意软件扫描、双用途包声明、Trusted Publishing OIDC 与 Staged Publishing，建立可审核、可回滚的发布流水线。