npm又被滥用，灰产用《庆余年2》盗版资源——把开源公共基础设施的羊毛薅秃了
内容提要
开发者发现盗版资源上传到npmmirror镜像站，暂停解析新包版本，存量保留。盗版团伙滥用npm和unpkg实现在线播放。npmmirror同步npm镜像至中国服务器。
延伸解读
滥用机制：npm 如何被用作视频分发渠道
盗版团伙将视频切割成小文件上传至 npm，并以软件包形式引用，同时上传 m3u8 索引文件到 unpkg。这样，播放器通过 m3u8 索引找到视频分块，实现在线播放。npm 和 unpkg 原本用于托管开源代码，却被滥用为免费 CDN，凸显了公共基础设施被灰色产业利用的风险。
影响与应对：npmmirror 的暂停措施
npmmirror 镜像站发现盗版资源后，暂停了解析新包版本，但存量资源保留，以免影响现有业务。这一措施旨在阻止新的盗版上传，但已同步的盗版内容仍可访问。由于 npmmirror 同步 npm 完整镜像至国内服务器，盗版资源在国内访问速度更快，加剧了侵权内容的传播。
历史与警示：npm 滥用并非首次
去年国外安全团队就发现 npm 上托管了 748 个实际为视频文件的软件包（如《武林外传》）。此次《庆余年 2》盗版资源再次表明，npm 等开源平台持续面临被滥用的挑战。这提醒平台需加强内容审核，同时也反映了灰色产业对公共资源的侵蚀。
Q&A
npmmirror 镜像站为什么暂停解析新包版本？
npmmirror 镜像站暂停解析新包版本是因为发现有人利用其机制上传盗版资源，特别是《庆余年 2》的高清盗版视频。
盗版团伙是如何利用 npm 和 unpkg 的？
盗版团伙将视频切割成小文件上传到 npm，以软件包方式引用，并将 m3u8 文件作为索引，实现在线播放。
什么是 m3u8 文件，它在盗版中有什么作用？
m3u8 文件是一种流媒体格式，用于记录音频、视频分块的列表，盗版团伙将其作为索引文件上传，以便实现在线播放。
npmmirror 镜像站的主要功能是什么？
npmmirror 镜像站主要用于同步 npm 的完整镜像至中国服务器，提供更快的访问速度。
unpkg 是什么，它如何帮助前端开发？
unpkg 是一个公共 npm 包 CDN，允许通过 URL 访问 npm 包，简化前端开发中的资源管理。
去年有哪些关于 npm 被滥用的案例？
去年有安全研究团队发现托管在 npm 的 748 个软件包实际上是视频文件，显示出 npm 被滥用的情况。
