Cli: [질문]-보안 전용 스크립트 무시?

npm은 보안 스크립트와 안전하지 않은 스크립트를 어떻게 구분합니까?

그렇게 할 수 있다면 왜 안전하지 않은 설정을 무시하도록 설정해야합니까?

보안 스크립트와 안전하지 않은 스크립트를 구분하지 않습니다.
최상위 모듈에서 npm 명령을 사용할 때 단순히 스크립트를 허용합니다.
소유자가 제 3자가 아니므로 신뢰할 수있는 것으로 간주 할 수 있습니다.

알겠습니다. 나는 그것을 전역 구성 설정으로 설정하지 않았지만 npm run 깨는 것은 꽤 실망 스러웠을 것입니다.

나는 ignore-scripts를 true로 설정했고, 내 프로젝트에서 npm start가 전혀 출력없이 작동을 멈춘다는 사실에 실망했습니다.

특히 설치 후 스크립트를 비활성화하기 위해 무시 스크립트의 보안을 원하지만 npm start 또는 npm run을 사용하여 명시 적으로 만 내 스크립트와 타사 스크립트를 실행할 수 있습니다. 패키지를 추가 할 때마다 --ignore-scripts를 추가해야하는 것은 매우 취약합니다. 왜냐하면 한 번만 잊어 버리기 만하면되며 깊이 숨겨진 타사 종속성에 의해 조용히 손상 될 수 있기 때문입니다.

일반적으로 npm cli의 기본 동작은 위험하며 어떤 식 으로든 변경해야한다고 강력하게 믿습니다. 예를 들어 npm은 명시 적으로 요청하거나 허용하지 않는 한 스크립트를 실행하기 전에 메시지를 표시 할 수 있습니다.

내 고용주는 현재 동작으로 스택에 npm을 도입하지 않기 때문에 현재 유일한 옵션은 각 워크 스테이션의 ignore-scripts 플래그 인 settubg에 의존하는 것 같습니다.

또한 종속성을 추가하면 스크립트보다 더 광범위한 보안 결과가 발생한다는 것을 알고 있지만 제 생각에는 스크립트가 몇 가지 이유로 특히 위험합니다. 프로젝트에 악성 패키지가있는 것은 들리는 것처럼 나쁘지만 적어도 페이로드를 실행하기까지 시간이 더 걸릴 수 있으므로 제 시간에 잡힐 수 있다는 희망이 있습니다. 또한 개발자는 컴퓨터에서 직접 실행되고 추적을 덮는 페이로드에 비해 코드를 디버깅하는 동안 devtools 등에서 추가 가져 오기를 볼 가능성이 더 큽니다. 악성 패키지가 포함 된 단일 프로젝트는 프로젝트와 관련이없는 전체 회사 IP를 잠재적으로 손상시킬 수 있습니다. 문제의 원인에 대한 침해를 정확히 찾아 내거나 침해가 전혀 발견되지 않는 것도 어려울 수 있습니다.

편집증적인 생각이 넘쳐나면서이 특정 문제를지지한다면 미안하지만, npm 관리자와 커뮤니티는이 주제에 대해 진지한 대화를해야한다고 생각합니다. JavaScript와 npm이 Bytecode Alliance 와 같은 것들에 어떻게 적합한 지 생각하기 시작할 수 있습니다.