TAG
#npm
3 篇文章
TechLab 所有關於「npm」嘅文章、評測同教學，由最新排起。
Tech NewsLazarus 扮 Rollup package 混入 npm，香港開發機同 CI 要即刻自查
JFrog 6 月 30 日揭露一批扮 Rollup polyfill 嘅 npm package，iThome 7 月 7 日報道呢波 Lazarus 供應鏈攻擊。麻煩位係 build 工具一入開發機或 CI，就可能摸到 token、browser session 同 crypto wallet。
23 小時前
Tech NewsPolinRider 伸入 npm、Composer 同 Go：裝包前真係要望清楚
iThome 報道，Socket 發現 PolinRider 已經由 npm 擴到 Packagist、Go module 同 Chrome Web Store。重點唔止係某個套件有毒，而係求職 coding task、package install、VS Code task 全部都可以變成入口；本地開發團隊要查 lockfile、repo history 同 secrets。
23 小時前
Tech News一個 VS Code extension 點樣打入 GitHub：開源供應鏈風險已變日常
GitHub 確認一名員工裝到被污染 VS Code extension，令約 3,800 個 GitHub 內部 repo 被外洩。重點唔係「GitHub 都會中招」咁簡單，而係 developer 工具、npm package、CI token 同 AI coding agent 已經變成同一條攻擊鏈。
2 個月前