保护您的 Supabase 项目免受 npm 供应链攻击
原文英文，约1800词，阅读约需7分钟。
📝
内容提要
近期，Node Package Manager (NPM) 的供应链攻击趋势上升，尤其是通过仿冒包名进行钓鱼攻击。Supabase 正在采取措施加强安全，包括发布安全指南、强化 GitHub Actions 和添加安全提示。建议开发者升级到 pnpm 11，固定版本，禁用不必要的安装脚本，并仔细验证包名，以防止潜在攻击。
🔎
延伸解读
供应链攻击的常见模式
供应链攻击通常通过三种方式进行：维护者妥协、仿冒包名和构建管道妥协。了解这些模式有助于开发者识别潜在风险，并采取相应的防范措施。尤其是仿冒包名攻击，开发者在安装包时需格外小心，确保包名的准确性。
分层防御的重要性
文章强调了分层防御的必要性，单一的安全措施无法完全防止攻击。开发者应结合多种策略，如固定依赖版本、禁用不必要的安装脚本等，以提高整体安全性。这种综合防御策略能够有效降低攻击者的成功率。
GitHub Actions 的安全配置
在使用 GitHub Actions 时，建议将提交 SHA 固定，而非使用标签。这是因为标签可能会被攻击者篡改，导致不安全的代码被执行。通过固定 SHA，开发者可以确保每次运行的代码都是经过验证的，从而增强安全性。
❓
Q&A
npm 供应链攻击的常见模式有哪些？
常见模式包括维护者妥协、仿冒包名和构建管道妥协。
Supabase 为了增强安全性采取了哪些措施？
Supabase 发布了安全指南、强化了 GitHub Actions，并添加了安全提示。
开发者如何防止 npm 供应链攻击？
开发者应升级到 pnpm 11，固定版本，禁用不必要的安装脚本，并仔细验证包名。
为什么要固定依赖版本？
固定依赖版本可以防止供应链攻击利用信任关系，确保只使用经过验证的版本。
如何验证包名以防止 typosquatting？
在安装包之前，检查包的范围是否正确，维护者是否是预期的，以及下载量和 GitHub 关联是否符合预期。
如果怀疑凭证被暴露，应该怎么做？
应立即轮换所有相关凭证，并审计服务角色密钥的使用情况。
🏷️
