#開發者資安

AsyncAPI 四套件遭落毒：合法 npm provenance 點解照樣失守

AsyncAPI 嘅 GitHub Actions 錯誤處理外來 pull request，令攻擊者偷到高權限 token，再借官方發布流程推出五個惡意 npm 版本。套件有合法 provenance 都擋唔住，因為簽署只證明由邊條 pipeline 產生，冇保證入面啲程式碼安全。