用过 Colors 和 Faker.js 的今天不要更新项目依赖

[Mithril]

作者在 NPM 包里放了死循环。如果你的项目有直接或者间接引用的话，很可能会挂掉。 https://www.bleepingcomputer.com/news/security/dev-corrupts-npm-libs-colors-and-faker-breaking-thousands-of-apps/

项目的依赖管理还是要谨慎一些，特别是当不指定具体版本号的时候，一旦更新很可能会炸掉。

NPM 这种动不动几百上千个依赖的，真要认真管起来的话简直是噩梦。

[Pastsong]

所以依赖版本记得用 fixed-version

[SingeeKing]

https://twitter.com/marak/status/1479200803948830724

[paoqi2048]

看来是为了引起更多人的注意

[yangzzzzzz]

@proger 分号那个是格式化问题吧 应该是下面那个 i%333

[IsaacYoung]

娱乐圈

[crs0910]

@yangzzzzzz 分号是语法错误。

作者不是被 github 封号了吗，怎么还能提交？

[Jwyt]

@crs0910 谁说作者被 github 封号了啊

[vone]

@proger 原来 for 循环括号前面的分号属于语法错误，会导致程序直接挂掉，他那个 "Fix bug" 提交修复的是语法报错，死循环仍然存在。
（修复的是不能正常死循环的 bug ，所以这个提交仍然是个恶作剧）

[Henry007]

贵圈真乱啊

[nojsja]

suspend 应该是账户暂停的状态

[alexkkaa]

作者好像家里失火失去财产 又被调查是否制造 boom 自己又受了伤 我猜他现在也找不到工作

用爱发电持续不下去了

[Biwood]

不觉得乱，也不觉得作恶，支持作者，话说 npm 体系现在才出现问题吗，那说明社区的自律性已经很强了

[gofishing]

@Biwood 之前 npm 就有过删库事件. 然后一堆项目跑不起来.

[Kasumi20]

https://user-images.githubusercontent.com/4365660/148700265-8b0063f7-28dd-4dbe-bb0b-892a6105b186.png

[chuyik]

今天就中招了，还好只是跑了个 demo

[mywaiting]

感觉会有一个很值得思辨（撕逼）的问题：

我个人开源提交到 NPM 的包（被无数引用的包），是否还属于我个人？

如果不属于我个人，这个包属于谁？

如果不属于我个人，那么这个为啥是我提交以及开源维护？

~~~ 抛砖引玉 ~~~

[wsseo]

开始整活

[SummerDruid]

@Biwood 前几年就出过一次事故了。当时有个老哥 Azer 写了个叫 kik 的模块，结果和某家公司的产品重名了被发律师函威胁，Azer 老哥不答应，然后这家公司直接找 npm 公司处理，npm 直接不经这个作者的同意，擅自把这个 kik 包的权限转移给了这个公司，Azer 老哥一怒之下把所有自己写的 npm 包 unpublish 了，结果其中有个叫 left-pad 的模块被广泛使用，导致 Babel 、ReactNative 等大量工具构建失败，npm 公司最后赶忙灭火强制恢复了这个 leftpad 模块，而且还是不道歉，最后这件事貌似也就这么不了了之了。

[meteor957]

娱乐圈名不虚传

[littleylv]

@SummerDruid #38 不懂就问，npm 的包名不包含作者名字吗，比如 user1/kik user2/kik company1/kik ，所以 npm 库里只允许存在一个 kik 么，太先进了，太牛逼了，瑞思拜