node-ipc 暴雷， vue 用户注意一下你的依赖

[Mithril]

vue cli 的一个依赖库，node-ipc 在最近的版本改了 license ，同时也加了一个 peacenotwar 的依赖库。

这个库就是 node-ipc 作者自己的，他的作用本来是输出一个反战的 log 。

但最近的版本会检测你的 IP ，如果发现匹配就直接用垃圾数据填充你的文件。然而这个 IP 检查会有各种错误。。。

另外还有几百个库依赖了 node-ipc ，如果你有使用最好也排查一下。

详情可见 https://gist.github.com/MidSpike/f7ae3457420af78a54b38a31cc0c809c

[Oktfolio]

又是开源库放毒

[olaloong]

这操作，属实失了智

[ALVC666]

有点恶心了。。

[yazinnnn]

这些傻逼总是以为是码农发动的战争

[liuidetmks]

破坏计算机系统罪? 可惜中国没有长臂管辖

[sarices]

如果开源社区默许了这个行为对于开源社区是灾难性的，任何人都能以抗议的形式，夹带病毒。

[0o0O0o0O0o]

这件事在 V2EX 被披露的第二天我就把我电脑上的 npm 删了，以后全部用 docker 配合 volume 吧，这样只影响项目目录。

关于防护，有人有更好的建议吗？

[yujinchn]

@0o0O0o0O0o 已经被 npm 拉黑了，新版本的 vue-cli 好像也移除这个库了，不是🇷🇺 ip 的服务器应该问题不大

[emeab]

现在我打开互联网想聊聊游戏，聊聊电影小说音乐，聊聊代码 但是这些我原以为属于生活的东西却越来越政治化。

[christin]

@0o0O0o0O0o #7 不要升级最新的，等两三个月在升级

[xiao109]

peace and love.
我给你马两刀

[miniliuke]

这件事是赤裸裸得犯罪啊，政治正确得威力还是大啊

[0o0O0o0O0o]

@yujinchn #8 是指防止未来遇到同类问题，这个事件让我觉得这些依赖的版本管理太脆弱了。我写得很少，有需要时都是找些模版项目拉下来改改，但印象中从没有工具提示我依赖版本没有 lock ，只有 npm audit 提示有已知漏洞的依赖，这种低成本供应链攻击的事实让我很不安。
@christin #10

[infactory]

npm 真是隔一段时间就能整个活

[sobigfish]

被感染的包里 https://github.com/RIAEvangelist/peacenotwar/network/dependents 出现了 vuejs / vue-cli
是我没有想到的，里面还有一些通过 vue-cli 新建的项目。

[x86]

前端娱乐圈

[shijingshijing]

@infactory 不整活没法活

[jk54]

最近看到整活的好像都是 npm....
其他也有包管理依赖语言的，比如 go ，rust ，java 印象中没有看到过类似的事情。有谁可以举个例子吗

[zhangshine]

是不是魔怔了？

[learningman]

@jk54 #18 比如 pypi 啊，go 啊这种包管理的设计其实都能整活的，可能还没人想到吧