node-ipc 暴雷， vue 用户注意一下你的依赖

[Mithril]

vue cli 的一个依赖库，node-ipc 在最近的版本改了 license ，同时也加了一个 peacenotwar 的依赖库。

这个库就是 node-ipc 作者自己的，他的作用本来是输出一个反战的 log 。

但最近的版本会检测你的 IP ，如果发现匹配就直接用垃圾数据填充你的文件。然而这个 IP 检查会有各种错误。。。

另外还有几百个库依赖了 node-ipc ，如果你有使用最好也排查一下。

详情可见 https://gist.github.com/MidSpike/f7ae3457420af78a54b38a31cc0c809c

[leavic]

nodejs 出这种事不是第一次了吧

[agdhole]

@emeab #9
互联网从未不政治过，在国内早就因为政治让大多数游戏，部分音乐、网站这些生活的东西无法访问或进行高压审查了。

[adoal]

又是 node.js 娱乐圈

[adoal]

@learningman pypi 也有过，不过因为被投毒的包本身没多少用户，影响不大

[polobug]

反战就反战，夹私货干啥。。。。政治巨婴。。。

[irainsoft]

GitHub 举报里面包含了“harmful code”这一选项，不知道对这个库是否有效

https://support.github.com/contact/report-abuse?category=report-abuse

[Oktfolio]

@jk54 go 用 github 作为仓库的更容易出问题吧，还只能 github ban 掉

[FightPig]

node 是一年要出个两三回这种那种的事

[matrix67]

@0o0O0o0O0o pin dependency 。

update 依赖库的时候要看 changelog ，要有测试环境测试。

[Mithril]

@matrix67 其它语言倒还好，前端开发这种动不动 node_modules 就上千的，很难挨个看过去的。

[huiyifyj]

npm 每次都能来个新花样，新把戏。

[sheeta]

前端娱乐圈不是开玩笑的噢

[yin1999]

@Oktfolio 还好吧，现在不都用 go modules 嘛，从 go proxy 拉下来的特定版本是会被其缓存且无法修改的，作者只能要求 go proxy 删除

[marcong95]

@agdhole #22 其实也没那么从未，至少在刚出来那几年还是挺「不政治」的，所以也时不时有人在怀念过去。

政治确实一件挺可恨的东西，不论中外也不论过去现在，不过可惜在本人寿命范围内，估计也是不可能看见政治这种东西的消亡了，而且应该还会往恶化的方向走。

[moreant]

@yujinchn #8
已经锁版本了 https://github.com/vuejs/vue-cli/issues/7054#issuecomment-1068677029

[wwqgtxx]

@Oktfolio go.mod 都是锁版本号和 checksum 的，开发者不主动升级根本不会被供应链攻击，就算默认的 proxy.golang.org 被投毒了，本地的.sum 文件也就让他验证不通过的

[2kCS5c0b0ITXE5k2]

@agdhole 你看 你这发言不就符合我发言. 而且大部分游戏哪里就不能访问了..

[yujinchn]

@moreant 是的，这里也有在讨论 https://old.reddit.com/r/selfhosted/comments/tge5xa/npm_supply_chain_attack_wipes_your_disk_if_you/

[EPr2hh6LADQWqRVH]

这库有啥用，为啥要用，桌面出东西除了因为 vue 还有因为其他的吗？
责任都能追到 node.js 身上，但 vue 没有一点责任
棒呆了各位前端大佬

[pengtdyd]

前端真是娱乐圈啊！！！！还是搞 C 好啊，没有那么多牛鬼蛇神