用过 Colors 和 Faker.js 的今天不要更新项目依赖

[Mithril]

作者在 NPM 包里放了死循环。如果你的项目有直接或者间接引用的话，很可能会挂掉。 https://www.bleepingcomputer.com/news/security/dev-corrupts-npm-libs-colors-and-faker-breaking-thousands-of-apps/

项目的依赖管理还是要谨慎一些，特别是当不指定具体版本号的时候，一旦更新很可能会炸掉。

NPM 这种动不动几百上千个依赖的，真要认真管起来的话简直是噩梦。

[qxqsxbd]

@littleylv 最开始的时候只有全局的命名空间，一个人占了别人就用不了了，后来才出现个人命名空间

[SummerDruid]

@littleylv 没错，就是你想的那样，npm 不使用你提及的作者名 /模块名的方式定位唯一模块，也不像 Maven 一样有 group 和 artifact 双重命名，它的包名唯一且先到先得。

[ccppgo]

难怪别人都说前端娱乐圈

[jasonkayzk]

刚开始搞前端的时候就感觉 npm 这个东西迟早会出问题…

[coderluan]

之前很多人说当事人开源了就要做好心里准备，那么现在同样的之后用开源代码的人也要做好心里准备，Fair Play.

[ykk]

心理准备

[hengyunabc]

所以拿到 npm 项目，第一时间把版本号全改为固定的，不然过几个月还能不能 build 就看烧高香了。

没有办法理解为什么 npm 这么喜欢所谓的版本自动升级，这个不是把性命交别人手上么。

[hahastudio]

现在 npm 在我看来就是用对代码的控制来换取开发的便捷
也许再出几个这样的事件，风险收益比就不行了

[otakustay]

@mywaiting #36 属于你自己，你既有任意修改发布的权利，也有因为包带来危害而个人形象受影响的风险

[vanton]

支持作者，前端真乱。
😁😂😃

[NCZkevin]

@alexkkaa 看 github 评论里有说是作者本人在家里搞事情，结果把家给弄起火了，然后在推上乞讨。
https://github.com/Marak/colors.js/commit/074a0f8ed0c31c35d13d28632bd8a049ff136fb6 这是我见过的 commit 里最长的楼，节目效果太强了

[Wincer]

@Jwyt #27 他自己在推上说的被 GitHub 冻结了，https://twitter.com/marak/status/1479200803948830724

[proger]

@vone 懂了 ，谢谢老哥～

[stevenhawking]

以后开源项目都得提供一个 reputation score, 低信誉的人的项目, GitHub 、Npm 等社区和工具不予以推广.

[starrys]

哟，原来 npm 已经被 GitHub 收购了。
来源: https://www.npmjs.com/about
npm, Inc. is a company founded in 2014, and was acquired by GitHub in 2020. npm is a critical part of the JavaScript community and helps support one of the largest developer ecosystems in the world.

[123jiayue]

为什么做这种降低自己信誉的事 难到以后不干这行了

[ncepuzs]

贵圈真乱

[acdfjelxe]

@SummerDruid 神罗天征 🐶

[v2lf]

@proger 分号 会变成两个语句块，

[abersheeran]

开源运动作为地球上唯一一个还在运作的共产主义运动，现在看来无疑是失败的。在没有消灭资产阶级之前，一切所谓的国际主义、共产主义都只是在剥削同为无产阶级的人为资产阶级打工罢了。