在分叉上的钓鱼，没有筹码
原文英文，约900词，阅读约需4分钟。
📝
内容提要
本文讨论了从GitHub安装npm包的安全性，强调使用特定提交哈希以避免恶意代码风险。用户需警惕可能存在的fork，攻击者可能在其中引入恶意代码。尽管GitHub已引入警告机制，但在安装包时未显示。为提高安全性，建议使用@lavamoat/git-safe-dependencies工具验证依赖项的安全性。
🔎
延伸解读
分叉的风险
在使用GitHub安装npm包时，用户需特别注意分叉（fork）带来的风险。攻击者可能在分叉中引入恶意代码，尽管使用特定的提交哈希可以降低风险，但仍需谨慎对待。确保所用的提交哈希来自原始仓库而非分叉是保护安全的关键。
GitHub的警告机制
虽然GitHub已引入警告机制以提示用户潜在的安全风险，但在包安装过程中并未显示这些警告。这意味着用户在安装时可能会忽视重要的安全提示，因此建议在安装前仔细检查提交哈希的来源。
使用安全工具的必要性
为了提高安全性，建议使用@lavamoat/git-safe-dependencies工具来验证依赖项的安全性。该工具能够确保依赖项指向正确的提交ID，并检查lockfile与package.json的一致性，从而有效防止恶意代码的引入。
❓
Q&A
如何从GitHub安全地安装npm包？
使用特定的提交哈希可以避免恶意代码风险。
什么是fork，为什么它会带来安全风险？
fork是对原始仓库的复制，攻击者可能在其中引入恶意代码。
GitHub的警告机制如何工作？
GitHub在UI中提供警告，但在包安装时未显示警告。
@lavamoat/git-safe-dependencies工具有什么功能？
@lavamoat/git-safe-dependencies工具可以验证依赖项是否指向正确的提交ID。
如何确保依赖项的安全性？
建议使用@lavamoat/git-safe-dependencies工具来验证依赖项的安全性。
Git提交哈希的唯一性有什么重要性？
Git提交哈希几乎是全球唯一的，确保了内容的一致性。
🏷️
