npm 构建启动前端项目后，自动在桌面创建了 WITH-LOVE-FROM-AMERICA.txt

[simbaCheng]

结论先行 npm 构建前端项目，启动后在桌面自动创建《 WITH-LOVE-FROM-AMERICA.txt 》文件。

过程：

• 在 gitHub 上下载vue-element-admin
• 按照 readme 中进行安装，npm install
• 启动项目 npm run dev
• 系统弹窗需要访问桌面的权限（手抖点的太快，没看清是哪个程序需要权限）
• 桌面出现《 WITH-LOVE-FROM-AMERICA.txt 》文件

观察： 已经有其他网友也出现此情况，桌面突然出现奇怪 txt 文件！ 好像是今天才出现这个情况

怀疑是不是 npm 依赖项被恶意篡改了。 PS：难道是因为最近的国际时局？

[dcsuibian]

node_modules 搜搜看？

[Love4Taylor]

https://github.com/RIAEvangelist/peacenotwar

[learningman]

查找一下依赖树里哪来的这个包

[caocong]

vue-cli 里有 node-ipc
node-ipc 里有 peacenotwar

[0o0O0o0O0o]

这算供应链攻击吗？

[simbaCheng]

@Love4Taylor 感谢，也在 github 上找了，眼拙没注意

[simbaCheng]

@caocong
感谢，迫不得已当回伸手党（前端新人，平时做后端）；
想问下，怎样把这个依赖去掉？

[weichengwu]

@simbaCheng #7 找到谁依赖它的，然后 fork 一份，把那个依赖换掉😂

[ahwwh1994]

@simbaCheng 用 yarn 的话，可以在 package.json 里添加
"resolutions": {
"node-ipc": "9.2.1"
}

[simbaCheng]

@caocong
再次感谢，自己已经将这个依赖删除了。

[simbaCheng]

@ahwwh1994
感谢帮助

[ChaosesIb]

github.com/RIAEvangelist/node-ipc/issues/233
好恶心的行为，有空的可以去和作者对线

[vacnt7]

刚才我也遇到了，重装依赖过后多了这个 txt ，还以为中毒了

[iseki]

@ChaosesIb 看一遍开源协议，要么 fork 要么忍着

[FrankHB]

@iseki 要么 fork 要么忍是什么义务？开源协议可没本事阻止用户婊 adware （物理），更何况那个项目用的协议根本就没提。

[ChaosesIb]

@iseki #14 正是因为作者有权利那么做，才需要靠跟他沟通来解决。不过现在 issue 里那些直接人身攻击的我觉得就有些过了，开骂的话作者就更难退让了

[iseki]

@ChaosesIb 当然，我针对的是你话中的“对线”，对线可不是沟通～

@FrankHB 如果你认为跑到对应 issue 区域开骂是合理的，请自便

[Trim21]

“美国全方位针对，国产知名开源软件遭美国开发者供应链攻击!”

不过这种行为真的挺恶心的，拉资助好歹还是为了项目本身活下去。

[ChaosesIb]

github.com/RIAEvangelist/node-ipc/issues/233#issuecomment-1068182278
被人挖出真恶意代码了，本机如果是俄或者白俄的 IP 会直接覆写所有文件，有依赖的赶紧换下吧

[gadfly3173]

vuecli 发了新版本，可以直接升级