这个空的 NPM 包竟然超过 80万次下载!!!

前端壹栈

共 1117字,需浏览 3分钟

 ·

2021-09-05 16:48

让我告诉你这个不起眼的包,它在过去一年中产生了超过 80 万的下载量。

这个npm包是-

我们在Runkit尝试打印出它导出的模块,返回的是null,这个npm包就是一个赤裸裸的空包

为什么需要下载它?

令人难以置信的是,人们实际上正在下载这个包。并且每个月的下载量都在增加。下图说明了自软件包在 npm 上发布以来的下载次数。

但是,如果这让您感到惊讶,请等到我告诉你更疯狂的部分。它被用作超过 60个npm包的依赖项。

我们随便打开一个依赖-包的仓库,以black-ts为例子

这个-包安静的躺在dependencies依赖项,而且还是dependencies!!!,突然觉得后背发凉

如果我告诉你,你也将它下载到你的项目中呢?它发生在你甚至不知道的情况下。也许它正静静地坐在你的package.json现在。而你对此一无所知。也许你是 800,000 人中的一员,不信你可以检查一下

那么我们为什么会安装它呢?

我们都知道为了安装npm包,我们需要运行以下命令之一。但是,我们写的命令有很多种变体,但不一定都是对的。

npm i package
# or
npm install --save package
# or 
npm i -g package

有时您过早按下空格键,有时您忘记了一个字母。或者,如果你像我一样,有时最终会写出完全不同的东西。关键是,很容易打错字。注意-和g的间距

npm i - g package  // ❌

也就是作者发现了我们这种行为方式,专门搞了这个-包,真是个鬼才最后作者Dmitry澄清说,虽然该软件包目前没有做任何事情,但他计划扩展它,当人们试图意外安装它时抛出错误消息。虽然这听起来毫无意义,但它最终可以为您节省1kb的包大小。

为什么-包可能是危险的?

虽然-现在没有危险,但如果你的项目中不小心安装到它,然后发布到生产,一旦存在安全漏洞,你的用户数据等等都会被窃取,妥妥的事故

所以一般公司都会配套代码检测工具等安全扫描工具,可以把关项目的安全,但是作为开发还是要提高自己的素养

参考文献

  • https://www.npmjs.com/package/-
  • https://www.npmjs.com/package/black-ts


浏览 17
点赞
评论
收藏
分享

手机扫一扫分享

分享
举报
评论
图片
表情
推荐
点赞
评论
收藏
分享

手机扫一扫分享

分享
举报