Blog - Supabase
·
保护您的 Supabase 项目免受 npm 供应链攻击
💡
原文英文，约1800词，阅读约需7分钟。
📝
内容提要
近期，Node Package Manager (NPM) 的供应链攻击趋势上升，尤其是通过仿冒包名进行钓鱼攻击。Supabase 正在采取措施加强安全，包括发布安全指南、强化 GitHub Actions 和添加安全提示。建议开发者升级到 pnpm 11，固定版本，禁用不必要的安装脚本，并仔细验证包名，以防止潜在攻击。
🎯
关键要点
- 近期，Node Package Manager (NPM) 的供应链攻击趋势上升，尤其是通过仿冒包名进行钓鱼攻击。
- Supabase 正在采取措施加强安全，包括发布安全指南、强化 GitHub Actions 和添加安全提示。
- 建议开发者升级到 pnpm 11，固定版本，禁用不必要的安装脚本，并仔细验证包名，以防止潜在攻击。
- 供应链攻击的常见模式包括维护者妥协、仿冒包名和构建管道妥协。
- 开发者应采取分层防御措施，包括升级包管理器、固定依赖版本、提交锁定文件、禁用安装脚本和验证包名。
- 建议在 GitHub Actions 中固定使用的提交 SHA，而不是标签，以防止潜在的代码被篡改。
- 如果怀疑暴露了凭证，应立即轮换所有相关凭证，并审计服务角色密钥的使用情况。
❓
延伸问答
npm 供应链攻击的常见模式有哪些？
常见模式包括维护者妥协、仿冒包名和构建管道妥协。
Supabase 为了增强安全性采取了哪些措施？
Supabase 发布了安全指南、强化了 GitHub Actions，并添加了安全提示。
开发者如何防止 npm 供应链攻击？
开发者应升级到 pnpm 11，固定版本，禁用不必要的安装脚本，并仔细验证包名。
为什么要固定依赖版本？
固定依赖版本可以防止供应链攻击利用信任关系，确保只使用经过验证的版本。
如何验证包名以防止 typosquatting？
在安装包之前，检查包的范围是否正确，维护者是否是预期的，以及下载量和 GitHub 关联是否符合预期。
如果怀疑凭证被暴露，应该怎么做？
应立即轮换所有相关凭证，并审计服务角色密钥的使用情况。
➡️
