Тема: npm
-
Публикация в npm и PyPI: привязка идентичности издателя к одобренным артефактам релиза
Trusted publishing через OIDC избавляет от хранения токенов публикации, но его безопасность по-прежнему зависит от разрешённого рабочего процесса. Отделяйте сборку от публикации, защищайте процедуру одобрения и сверяйте идентификационные данные артефакта, не принимая подтверждение происхождения за заключение об отсутствии вредоносного кода.
-
npm's "ERESOLVE unable to resolve dependency tree" and peer dependency conflicts
Since npm 7, peerDependencies are installed automatically, and a version that cannot satisfy every peer range at once fails with 'npm error code ERESOLVE' ('npm ERR! code ERESOLVE' before npm 10.6). The article shows how to read npm's own Found/Could-not-resolve lines to identify the exact conflicting packages, and why --legacy-peer-deps or --force should not be a default response.
-
Как остановить распространение npm-червя через машины разработчиков и аккаунты издателей
ChainDrop и компрометация Tensorlake показывают, как кража учётных данных при установке может привести к несанкционированной публикации пакетов. Локализация инцидента должна охватывать выполнение зависимостей, права публикации, механизмы закрепления в репозиториях и заражённые результаты сборок.
-
Задержка внедрения релизов пакетов: точные настройки, единицы измерения и границы действия
Контроль возраста релизов устроен по-разному в npm, pnpm, uv, Renovate и Dependabot. Укажите правильные единицы измерения, проверьте обработку временных меток и разрешение транзитивных зависимостей и предусмотрите явный порядок установки срочных обновлений безопасности.
-
Установлен вредоносный пакет: остановите выполнение кода до замены учётных данных
Предлагаемая последовательность действий при установке вредоносных пакетов npm или Python: остановить выполнение кода и публикацию, сохранить свидетельства, отозвать раскрытые учётные данные с чистой системы, проверить механизмы закрепления в репозитории, пересоздать окружение и проверить восстановление.
Машиночитаемо: JSON