Rizik zvani NPM

[SuperStarr]

Posle ove katastrofe sa kompromitovanim pkg, koja se izgleda širi i dalje i nema nekih naznaka kako će se rešiti, kako se branite?
Neki saveti po netu su "sandboxing" ali eventualno će doći i taj trenutak kada sa instaliranim kompromitovanim pkg-om će morati da se odradi "build" i tu nikakav VM / kontenjer ne pomaže zbog neophodnosti unošenja privatnih ID-va...

Dajte neka razmišljanja ako već nema (još uvek) konkretnih predloga?

 

[chevu1990]

Ako te mrzi da ručno proveravaš. Ja sam počeo da koristim NPQ (npm pre-install security checker). Umesto npm install koristiš npq install da dobiješ upozorenja i ocene rizika pre nego što paket stvarno instaliraš.