用过 Colors 和 Faker.js 的今天不要更新项目依赖

[Mithril]

作者在 NPM 包里放了死循环。如果你的项目有直接或者间接引用的话，很可能会挂掉。 https://www.bleepingcomputer.com/news/security/dev-corrupts-npm-libs-colors-and-faker-breaking-thousands-of-apps/

项目的依赖管理还是要谨慎一些，特别是当不指定具体版本号的时候，一旦更新很可能会炸掉。

NPM 这种动不动几百上千个依赖的，真要认真管起来的话简直是噩梦。

[yuthelloworld]

无语了

[sadfQED2]

这就属于作恶了

[Rrrrrr]

npm 不能锁包真的……

[anonydmer]

每年都要看几个 npm 的瓜，前端故事就是多啊 /狗头

[FightPig]

npm 的瓜一直没停过

[x86]

前端娱乐圈就开始整活了

[stkstkss]

把 package 依赖里面版本号前面的^去掉

[cweijan]

才知道这个 faker.js 的作者也是 colors 的作者, 这个周下载两千万, 牛

[Mithril]

@stkstkss 麻烦的在于间接引用，你也不知道你哪个依赖库就引了它进来。。。。
最好搜一下 node_modules 看看

[vone]

https://github.com/Marak/colors.js/commit/5d2d242f656103ac38086d6b26433a09f1c38c75

这个提交才是最骚的，修复了死循环报错的 bug 。

https://s4.ax1x.com/2022/01/10/7A4Ert.png

[chenmobuys]

可以说是前端自己一手造成的，依赖的太多太深了，导致别人删除一个库，全崩了

[aboat365]

发生什么事了，报复社会？

[7gugu]

之前是不让大公司白嫖，现在做这种事情就是恶心同行人了啊！

[wonderfulcxm]

这他喵的这个包管理机制就有问题

[wu67]

@wonderfulcxm 本来就是个沉重的历史包袱 hhh

[binux]

project owner 有向自己的项目提交任何内容的自由 🐶

[SummerDruid]

想起来一句中二名台词:“让世界感受痛楚”

[littleylv]

贵圈真乱（ doge

[proger]

@vone 请教一下，for 循环删除一个分号就行了吗？这是啥原理啊

[hpuchenkai]

吓得我看了下项目，还好用的是 chalk