最新的不一定好——预防供应链攻击
💡
原文中文，约1100字，阅读约需3分钟。
📝
内容提要
文章讨论了供应链攻击的风险，特别是通过包管理器进行的攻击案例。提到GitHub因插件更新被入侵，并建议开发者在软件包更新时设置冷却时间以降低风险，提供了不同包管理器的冷却设置方法。
🎯
关键要点
-
GitHub因员工更新恶意代码插件而被入侵。
-
今年以来通过包管理器进行的供应链攻击案例有三起。
-
包托管平台应对新发布的包进行安全扫描，但机制尚未普及。
-
开发者可以通过设置软件包更新的冷却时间来降低风险。
-
GitHub Dependabot支持设置冷却时间，默认为7天。
-
NPM v11.10.0以上版本可以设置最小发布年龄。
-
Bundler尚未支持冷却时间，但有相关讨论。
-
VS Code可以关闭插件自动更新，Zed尚不支持此功能。
❓
延伸问答
供应链攻击是什么？
供应链攻击是指通过包管理器等渠道，攻击者在软件包中植入恶意代码，从而影响使用该软件包的系统或应用。
GitHub是如何被入侵的？
GitHub因员工更新了被植入恶意代码的插件而遭到入侵。
如何降低软件包更新的风险？
开发者可以通过设置软件包更新的冷却时间来降低风险。
哪些包管理器支持冷却时间设置？
GitHub Dependabot和NPM v11.10.0以上版本支持冷却时间设置，Bundler尚未支持但有相关讨论。
VS Code如何处理插件更新？
VS Code可以关闭插件的自动更新功能，以降低潜在风险。
包托管平台的安全扫描机制普及情况如何？
理论上，包托管平台应对新发布的包进行安全扫描，但这一机制尚未普及。
➡️
