Cli: [प्रश्न] --अनदेखा-स्क्रिप्ट केवल सुरक्षा के लिए?

एनपीएम सुरक्षित और असुरक्षित स्क्रिप्ट के बीच अंतर कैसे करेगा?

यदि यह ऐसा कर सकता है, तो असुरक्षित लोगों की उपेक्षा करने के लिए एक सेटिंग की आवश्यकता क्यों होगी?

यह सुरक्षित और असुरक्षित स्क्रिप्ट के बीच अंतर नहीं करेगा।
शीर्ष मॉड्यूल पर npm कमांड का उपयोग करते समय यह केवल स्क्रिप्ट की अनुमति देगा।
चूंकि मालिक कोई तीसरा पक्ष नहीं है, इसलिए इसे विश्वसनीय माना जा सकता है।

गोचा, यह समझ में आता है। मैंने इसे वैश्विक कॉन्फ़िगरेशन सेटिंग के रूप में कभी सेट नहीं किया है, लेकिन npm run को तोड़ना बहुत निराशाजनक होता।

मैंने इग्नोर-स्क्रिप्ट्स को सत्य पर सेट किया है और यह जानकर निराश हुआ कि मेरे प्रोजेक्ट पर npm start ने पूरी तरह से बिना किसी आउटपुट के काम करना बंद कर दिया।

मैं विशेष रूप से पोस्ट-इंस्टॉल स्क्रिप्ट को अक्षम करने के लिए अनदेखा-लिपियों की सुरक्षा चाहता हूं, लेकिन मेरी अपनी स्क्रिप्ट और तृतीय पक्ष स्क्रिप्ट निष्पादित करने में सक्षम हूं, केवल स्पष्ट रूप से एनपीएम स्टार्ट या एनपीएम रन के साथ। हर बार जब मैं एक पैकेज जोड़ना चाहता हूं तो --ignore-scripts जोड़ना बहुत नाजुक होता है क्योंकि इसे केवल एक बार भूलना होता है और आप गहराई से छिपी हुई तीसरी पार्टी निर्भरता से चुपचाप समझौता कर सकते हैं।

सामान्य तौर पर मेरा दृढ़ विश्वास है कि npm cli का डिफ़ॉल्ट व्यवहार खतरनाक है और इसे किसी न किसी तरह से बदलने की जरूरत है। उदाहरण के लिए npm किसी भी स्क्रिप्ट को निष्पादित करने से पहले मुझे संकेत दे सकता है, जब तक कि स्पष्ट रूप से अनुरोध या श्वेतसूची में न हो।

मेरा नियोक्ता वर्तमान व्यवहार के साथ एनपीएम को स्टैक में पेश करने के लिए तैयार नहीं है, इसलिए मेरा एकमात्र विकल्प अभी प्रत्येक वर्कस्टेशन पर इग्नोर-स्क्रिप्ट फ्लैग को सेटबग पर निर्भर करता है।

साथ ही, मैं यह नोट करना चाहता हूं कि मुझे पता है कि निर्भरता जोड़ने से स्क्रिप्ट की तुलना में व्यापक सुरक्षा परिणाम होते हैं, लेकिन मेरी राय में स्क्रिप्ट कुछ कारणों से विशेष रूप से खतरनाक हैं। आपके प्रोजेक्ट में एक दुर्भावनापूर्ण पैकेज होना उतना ही बुरा है जितना यह लगता है, लेकिन कम से कम इसके पेलोड को निष्पादित करने में कुछ और समय लग सकता है, इसलिए थोड़ी सी उम्मीद है कि इसे समय पर पकड़ा जा सकता है। इसके अलावा, डेवलपर्स को अपने कंप्यूटर पर सीधे चलने वाले पेलोड की तुलना में अपने कोड को डिबग करने और इसके निशान को कवर करने की तुलना में devtools या कुछ और में एक अतिरिक्त लाने की संभावना है। दुर्भावनापूर्ण पैकेज वाला एक प्रोजेक्ट संभावित रूप से पूरी कंपनी आईपी से समझौता कर सकता है जो परियोजना से संबंधित भी नहीं है। समस्या के स्रोत के उल्लंघन का पता लगाना मुश्किल हो सकता है या यहां तक ​​कि यह पता लगाना भी मुश्किल हो सकता है कि कोई उल्लंघन है या नहीं।

क्षमा करें यदि मैं इस विशिष्ट मुद्दे पर अपने पागल विचार अतिप्रवाह के साथ समर्थन कर रहा हूं, लेकिन मुझे लगता है कि एनपीएम अनुरक्षकों और समुदाय को इस विषय पर गंभीर बातचीत करनी चाहिए। संभवतः यह सोचना शुरू करें कि जावास्क्रिप्ट और एनपीएम बाइटकोड एलायंस जैसी चीजों में कैसे फिट होते हैं।