在安装前及安装过程中拦截恶意npm包
内容提要
Vercel在依赖安装前后新增npm包拦截检查，防止恶意安装脚本运行。检查基于因恶意软件或安全漏洞被封锁的特定包版本名单，新规则通常几分钟内生效。安装前检查锁文件（含缓存恢复），安装中拦截受影响的公共npm下载。检测到被封锁依赖时，部署失败并提示包名版本，同时尝试清除相关构建缓存。用户需更新依赖至安全版本、更新锁文件后重新部署。该保护自动应用于所有套餐的新构建，无需配置。
延伸解读
拦截机制覆盖安装前后
Vercel的检查分为两个阶段：安装前检查锁文件，包括从构建缓存恢复依赖的情况；安装过程中则拦截受影响的公共npm下载。这意味着即使依赖来自缓存，恶意包也会在安装前被识别，而安装时的下载拦截则防止恶意脚本执行。这种双重检查覆盖了依赖安装的主要入口，降低了恶意包在构建过程中运行的风险。
自动生效与快速响应
该保护自动应用于所有套餐的新构建，无需任何配置。新规则通常几分钟内生效，能较快应对新出现的恶意包。对于使用Vercel的团队，这意味着无需额外操作即可获得基础防护，但需注意规则生效可能有短暂延迟，不能完全依赖其即时性。
检测到封锁依赖后的处理
一旦检测到被封锁的依赖，部署会失败，错误信息中会指出包名和版本，同时Vercel会尝试清除受影响的构建缓存。用户需要将依赖更新至安全版本，更新锁文件后重新部署。这一流程要求开发者及时响应错误提示，并确保锁文件同步更新，以避免重复失败。
Q&A
Vercel 如何防止恶意 npm 包在安装时运行？
Vercel 在依赖安装前和安装过程中进行检查，使用被封锁的特定包版本名单，阻止恶意安装脚本运行。
Vercel 的 npm 包拦截检查在哪些阶段进行？
检查在安装前（包括从构建缓存恢复依赖时）和安装过程中进行，安装中会阻止受影响的公共 npm 下载。
如果 Vercel 检测到被封锁的依赖会怎样？
部署会失败，错误信息中会指出包名和版本，同时 Vercel 会尝试清除受影响的构建缓存。
如何解决 Vercel 部署因被封锁依赖而失败的问题？
将依赖更新到安全版本，更新锁文件，然后重新部署。
Vercel 的 npm 包拦截功能需要手动配置吗？
不需要，该保护自动应用于所有套餐的新构建，无需任何配置。
Vercel 的封锁名单更新频率如何？
新规则通常几分钟内就会生效并应用到新构建。
