怎么防止同事用 Evil.js 的代码投毒

[woniuppp]

怎么防止同事用 Evil.js 的代码投毒-视频版 B 站

最近Evil.js被讨论的很多，项目介绍如下

项目被发布到 npm 上后，引起了激烈的讨论，最终因为安全问题被 npm 官方移除，代码也闭源了

作为一个前端老司机，我肯定是反对这种行为，泄私愤有很多种方式，代码里下毒会被 git log 查到，万一违法了，还不如离职的时候给老板一个大逼兜来的解恨

今天我们来讨论一下，如果你作为项目的负责人，如何甄别这种代码下毒

1. 检测函数的 toString
2. iframe
3. node 的 vm
4. ShadowRealm api
5. Object.freeze
6. 备份检测

怎么防止同事用 Evil.js 的代码投毒-视频版 B 站

怎么防止同事用 Evil.js 的代码投毒-完整代码

[tkHello]

暴风雨只会来的更猛烈

[rxswift]

让公司对员工好一点可解

[v2ka]

都是成年人，为自己的行为负责就好了。

别人要做小偷，要搞打砸抢烧，你防着有用吗？

不是有公安，有法院，有版房吗？

社会会合理分流，让合适的人呆到合适的地方就行了。

不用你操那么大的心。

[shanyuhai123]

为了推广而发的帖子，散了吧。
git 、svn 等代码管理工具有你提交记录，一抓一个准。

[Mark24]

营造好的用工环境，哄好打工人。

丧失信任之后，防你能防得住么？不如日行一善来的靠谱。

[samin]

@roundgis 应该是个小 leader 来套方案 ？

[cheng6563]

git 如不开 gpg 验证的话完全可以伪造提交作者

[fanxasy]

应该大力推广，因为代码投毒总比物理投毒好。同理我们应该大力发展色情产业（

[tianyou666shen]

关键字 同事 投毒
我以为你想说游族老板林奇呢

只要不往我杯子里投毒,其他您随意.(毕竟您都要和公司鱼死网破了)

[sherryqueen]

我国有一套完整的刑法

[zhaokun]

代码检测还不如多关注项目组员工的状态

[flybears]

@cheng6563 之前公司就碰见过这种，伪造提交者...最后也没查出来，后面就让加 gpg 验证

[fournoas]

代码投毒小把戏而已，当年 Ken Thompson 是往 C 编译器里留后门。还不如考虑下怎么魔改项目构建工具吧

[woniuppp]

@GopherDaily 是这样的 囧

[woniuppp]

@SunsetShimmer 锁版本就是更好的办法

[woniuppp]

@kikitte 对的 你也是

[woniuppp]

@v2ka 那为啥每家都装防盗门 囧

[woniuppp]

@shanyuhai123 好的

[woniuppp]

@Qy2FbR 可能是依赖的包里

[woniuppp]

@kidult 这个库的作者可能就是吃饱了