Nodemon: Advertencia de obsolescencia al inicio

Intenté agregar --trace-deprecations a mi secuencia de comandos de inicio, pero no tuvo ningún efecto, ya que la advertencia de obsolescencia se desencadena por el código de Nodemon (o dependencias) que se ejecuta antes de la secuencia de comandos de inicio.

Si prueba nodemon con un index.js simple, ¿todavía recibe la advertencia?

es decir.

echo "" > index.js
nodemon index.js

Sí:

De hecho, también tengo el problema.

node index.js => sin advertencia
nodemon index.js => recibió la advertencia

Mismo problema,

nodemon versión: 1.18.6

Aquí está el rastro:

> nodemon index.js                                                                                                                                                                                                

(node:27294) [DEP0106] DeprecationWarning: crypto.createDecipher is deprecated.                                                                                                                                   
    at [redacted]/node_modules/flatmap-stream/index.min.js:1:1264                                                                                                                      
    at Object.<anonymous> ([redacted]/node_modules/flatmap-stream/index.min.js:1:1423)                                                                                                 
    at Module._compile (internal/modules/cjs/loader.js:707:30)                                                                                                                                                    
    at Object.Module._extensions..js (internal/modules/cjs/loader.js:718:10)                                                                                                                                      
    at Module.load (internal/modules/cjs/loader.js:605:32)                                                                                                                                                        
    at tryModuleLoad (internal/modules/cjs/loader.js:544:12)                                                                                                                                                      
    at Function.Module._load (internal/modules/cjs/loader.js:536:3)                                                                                                                                               
    at Module.require (internal/modules/cjs/loader.js:643:17)                                                                                                                                                     
    at require (internal/modules/cjs/helpers.js:22:18)                                                                                                                                                            
    at Object.<anonymous> ([redacted]/node_modules/event-stream/index.js:11:15)

Y se cierra el círculo... Resulta que es una especie de ataque de inyección.
https://github.com/dominictarr/event-stream/issues/116
Relacionado: https://github.com/remy/nodemon/issues/1451

Estoy tratando de obtener un lanzamiento en nodemon, pero las pruebas no pasan (una de las pruebas de integración deja un servidor en segundo plano en ejecución).

Dicho esto, una nueva instalación de nodemon debería generar [email protected] que, si está causando esta advertencia, debería estar limpio ahora.

¿Alguien puede probar (y confirmar con npm ls pstree.remy contra la diferencia de instalación de nodemon)?

Este problema se resolvió con el lanzamiento de pstree.remy ; el paquete infectado se eliminó del árbol de dependencias nodemon . ¡Gracias!

Estoy tratando de obtener un lanzamiento en nodemon, pero las pruebas no pasan (una de las pruebas de integración deja un servidor en segundo plano en ejecución).

@remy me alegra saber que tienes pruebas fallidas, las cosas definitivamente están rotas. Ver #1464.

@FallingSnow por pura curiosidad: a partir del seguimiento de la pila, ¿cómo descubriste que es un ataque de inyección? ¿Comenzaste a analizar archivos js y min.js?

Aquí está el rastro:

```js

índice de nodemon.js

(nodo: 27294) [DEP0106] Advertencia de desuso: crypto.createDecipher está en desuso.
en [redactado]/node_modules/flatmap-stream/index.min.js:1:1264
en Objeto.([redactado]/node_modules/flatmap-stream/index.min.js:1:1423)
...

@piotrturski si tiene ese seguimiento de pila, sus dependencias están desactualizadas y nodemon necesita una actualización.

@piotrturski Simplemente seguí los rastros de la pila hasta que encontré un código muy extraño que parecía una carga útil ofuscada.

Entonces sí, analicé los archivos js, consulte https://github.com/dominictarr/event-stream/issues/116.