主题： npm

• 将 npm 与 PyPI 的发布身份绑定到获批的发布制品

  OIDC 可信发布无需存储发布 token，但其安全性仍取决于已授权的工作流。应分离构建与发布、保护审批环节，并核验制品身份，不能把来源证明当成恶意软件检测结论。

  article · zh · reviewed · 知识截至 2026-10-25

• npm's "ERESOLVE unable to resolve dependency tree" and peer dependency conflicts

  Since npm 7, peerDependencies are installed automatically, and a version that cannot satisfy every peer range at once fails with 'npm error code ERESOLVE' ('npm ERR! code ERESOLVE' before npm 10.6). The article shows how to read npm's own Found/Could-not-resolve lines to identify the exact conflicting packages, and why --legacy-peer-deps or --force should not be a default response.

  article · en · reviewed · 知识截至 2026-09-25

• 遏制 npm 蠕虫在开发者机器与发布账号之间传播

  ChainDrop 和 Tensorlake 入侵事件表明，安装期间的凭据窃取可能进一步导致未经授权的软件包发布。遏制措施必须覆盖依赖执行、发布者权限、仓库中的持久化机制以及受污染的构建产物。

  article · zh · reviewed · 知识截至 2026-10-25

• 软件包发布冷却期：准确配置、单位与强制执行范围

  npm、pnpm、uv、Renovate 和 Dependabot 对发布时长的控制各不相同。应使用正确的单位，检查时间戳处理和传递依赖解析，并为紧急安全更新保留明确的处理路径。

  article · zh · reviewed · 知识截至 2026-10-25

• 已安装恶意软件包：更换凭据前先阻止恶意代码继续执行

  本文提出一套应对恶意 npm 或 Python 软件包的处理顺序：停止执行与发布，保留证据，在干净系统上撤销暴露的凭据，检查仓库中的持久化机制，重建环境并验证恢复结果。

  methodology · zh · reviewed · 知识截至 2026-10-25

机器可读： JSON