node-ipc 暴雷， vue 用户注意一下你的依赖

[Mithril]

vue cli 的一个依赖库，node-ipc 在最近的版本改了 license ，同时也加了一个 peacenotwar 的依赖库。

这个库就是 node-ipc 作者自己的，他的作用本来是输出一个反战的 log 。

但最近的版本会检测你的 IP ，如果发现匹配就直接用垃圾数据填充你的文件。然而这个 IP 检查会有各种错误。。。

另外还有几百个库依赖了 node-ipc ，如果你有使用最好也排查一下。

详情可见 https://gist.github.com/MidSpike/f7ae3457420af78a54b38a31cc0c809c

[whiler]

版本锁定 + 代码审查

[xingyue]

@0o0O0o0O0o 想要安心就 npm ci

[fxxkgw]

足球比咱们这行业更热闹呢。。尤其欧足联 还有猫啊狗啊协会啥。。

[cutlove]

？这都能扩展到前端身上

[KevinChan]

把 IP 检查修好了再放出来就好了

[charlie21]

这集我看过
http://web.archive.org/web/20220311143153/https://v2ex.com/t/839669?p=1

[wooi]

反对开源项目内做表态本身已经是一种政治立场的选择，本质上是一样的

[chocotan]

@wooi 反对反对开源项目内做表态本身已经是一种政治立场的选择，本质上是一样的
----
你这是连内容都懒得看吗，制造病毒是 “表态”？

[gitdoit]

感觉每个月都会整点花出来, 还真就离谱

[wapzjn]

我觉得这个问题主要是作者，但是 npm 也是有问题的，npm 的默认开区间(现在是^符号)安装依赖导致作者发布的小版本安装时会自动升级，绝大部分人不会去锁定某个软件的版本，其次 npm 的黑洞式依赖根本就很难分清你到底使用了什么软件(A 依赖 B ，B 依赖 C ，C 依赖 D ）

[shengyueming]

@yazinnnn 既然是开源库，那作者在一定范围内有权利做任何事。而你没有付费使用也没有贡献不应该感激么，至少出问题不该谩骂

[leviathansroc]

@shengyueming 对开源项目的使用和关注也是一种支持,支持者没有资格对这种行为评判吗?

[dvsilch]

@shengyueming 出问题跟恶意塞垃圾是一个性质？

[Mexion]

@shengyueming 你在说什么呢？随意动用户的东西这是投毒，按你的意思免费用了东西就要感恩戴德了？自己的东西就可以随你处置了？偷偷动用户的东西都不能骂了那病毒为什么是病毒？小的是随意新建个没什么太大伤害的东西，大是的拿你的电脑挖矿、删除或破坏电脑里面的文件！

[ily433664]

总喜欢整点新花样

[shengyueming]

@dvsilch 你可以理解为 bug

@Mexion 他动的是自己的库。你有能力直接提 issue ，或者做个类似的库，在这里骂娘有啥用，人家下次还这样
@leviathansroc 不能批判？我写的是谩骂？中文看不懂？

[keepeye]

如果西方标榜的自由制度下尽出这种垃圾的话，这种自由要了干啥？作恶也是自由

[dvsilch]

@shengyueming
你说是 bug 就是 bug ？他是无意中写了个 peacenotwar 的库然后再无意引入进来发布的？怎么说你们混淆概念真有一套呢

[2kCS5c0b0ITXE5k2]

@shengyueming 当时 antd 圣诞节改个 UI 都被骂翻了. 动用户数据反而是 bug... 人类很奇妙吧.

[krixaar]

@shengyueming #51 开源库更新了一个小版本里面加了会格掉你的硬盘代码就不算恶意代码了？还不能骂两句？