#npm 保安

keyv 供應鏈蠕蟲攻陷 444 個 npm 套件：開發團隊即時排查指南

keyv 惡意版本可經 ESLint 等工具嘅間接依賴入項目，安裝時再偷 npm、GitHub、SSH、雲端同 CI/CD 憑證。單純見到 keyv 未代表中招，團隊要核對完整套件名、版本同安裝紀錄；確認執行過惡意版本，就要隔離環境、清走持續感染機制，再輪換 secrets。