Tema: npm
-
Vincular a identidade de publicação no npm e no PyPI aos artefatos de lançamento aprovados
A publicação confiável via OIDC elimina tokens de publicação armazenados, mas sua segurança ainda depende do workflow autorizado. Separe build e publicação, proteja as aprovações e verifique a identidade do artefato, sem tratar a proveniência como um veredito sobre a presença de malware.
-
"ERESOLVE unable to resolve dependency tree" do npm e conflitos de peer dependencies
Desde o npm 7, as peerDependencies são instaladas automaticamente, e uma versão que não consegue satisfazer todos os intervalos de peer ao mesmo tempo falha com 'npm error code ERESOLVE' ('npm ERR! code ERESOLVE' antes do npm 10.6). O artigo mostra como ler as linhas Found/Could not resolve do próprio npm para identificar exatamente os pacotes em conflito e por que --legacy-peer-deps ou --force não devem ser a resposta padrão.
-
Conter a propagação de worms no npm entre máquinas de desenvolvedores e contas de publicação
ChainDrop e o comprometimento do Tensorlake mostram como o roubo de credenciais durante a instalação pode levar à publicação não autorizada de pacotes. A contenção deve abranger a execução de dependências, as permissões de publicação, a persistência em repositórios e os artefatos de build contaminados.
-
Períodos de espera para versões de pacotes: configurações exatas, unidades e limites de aplicação
Os controles de idade das versões diferem entre npm, pnpm, uv, Renovate e Dependabot. Configure as unidades corretas, verifique o tratamento dos registros de data e hora e a resolução de dependências transitivas e mantenha um procedimento explícito para atualizações urgentes de segurança.
-
Um pacote malicioso foi instalado: contenha a execução antes de substituir credenciais
Uma sequência proposta de resposta a pacotes npm ou Python maliciosos: interromper a execução e a publicação, preservar evidências, revogar credenciais expostas a partir de um sistema limpo, examinar a persistência nos repositórios, recriar os ambientes e verificar a recuperação.
Legível por máquina: JSON