npm 后门仓库被发现

[des]

大家自己看看有没中招吧

相关讨论 https://github.com/dominictarr/event-stream/issues/116

[des]

这么严重的事情没人关心？

[duan602728596]

目前的项目还没用到 event-stream 这个包

[des]

@duan602728596
不是你没直接用到就没影响了，你可以去看看下载量。好多大型仓库都引用了，比如 nodemon

[des]

@des 说错，应该是好多有名的仓库都应用了

[quinoa42]

排查了下,自己写的几个小 project 都没依赖到,还好

[Kirscheis]

当年 leftpad 的事情之后竟然还有人相信这个奇妙的包管理方法。。翻车多少次也不奇怪

[yuanfnadi]

@duan602728596 vuecli nodemon

[hujianxin]

吃瓜

[shuang]

搜了下，用到了

[rabbbit]

这算中招了?

[des]

@rabbbit
是的，看见下面那个 flatmap-stream 了没，就是这货

[hahastudio]

eslint-scope 那件事之后，好像 npm 也没做什么

[ecnelises]

npm 已经算做得好的了，有人力财力搞自动扫描什么的，社区反应也比较快。只不过是出了问题影响的面大，所以关注的人比较多。想想其他语言社区像 PyPI、RubyGems 什么的（不过它们好像也不会一个项目依赖成百上千个包）

[lovedebug]

哎，Node 的生态问题，大公司贡献的优质库太少了

[ChristopherWu]

好像已经是 6 天前的新闻了-_- ， 好像关注度不高啊，我也是中午刷朋友圈，看到 javac 的文章才知道。

不过，在你说的那个时候，我也在前端娱乐圈里加上了此新闻： http://qianduanyule.club/

[123s]

如果是偷数字货币，我觉得 80%的人可以安全躲过。但是 npm 的问题，怕是堵不完。

[maichael]

npm-run-all 也依赖了。今天才刚把这个东东清理掉了。

[cstj0505]

lz，为啥进了你的帖子背景变黑色了，其它还是正常的。
KDE+FF

[dong3580]

@cstj0505 节点主题色

[liubo618]

@rabbbit 兄弟 我打开怎么发现没有呀