实体
npm ci
npm ci
PulseAugur coverage of npm ci — every cluster mentioning npm ci across labs, papers, and developer communities, ranked by signal.
总计 · 30天
0
90 天内 2
发布 · 30天
0
90 天内 0
论文 · 30天
0
90 天内 0
层级分布 · 90 天
主题
最近 · 第 1/1 页 · 共 2 条
-
AI 代理服务器面临与 npm 类似的供应链风险
对 8,764 个 AI 代理服务器进行的安全性审计揭示了重大的供应链风险，这与在 Node Package Manager (npm) 生态系统中发现的漏洞相似。研究人员发现，部分服务器泄露了敏感的环境变量，硬编码了 API 密钥，并试图访问系统进程或内核漏洞。为缓解这些威胁，建议用户验证服务器审计，避免授予生产凭证，并在隔离环境中运行不受信任的服务器，而开发人员应专注于安全编码实践、依赖项管理和获取第三方审计。
-
用五层防御保护你的 npm CI 流水线
本文概述了一种增强 npm 持续集成 (CI) 流水线安全性的五层策略，解决了频繁安装依赖所带来的巨大攻击面。提出的层级包括：强制使用 "npm ci" 进行确定性安装；使用 "lockfile-lint" 等工具验证 lockfile 的完整性；利用 GitHub 的 dependency-review-action；将 GitHub Actions 固定到特定的提交 SHA 而非可变的标签；以及采用 OIDC 进行可信发布，以消除…