怎么防止同事用 Evil.js 的代码投毒

[woniuppp]

怎么防止同事用 Evil.js 的代码投毒-视频版 B 站

最近Evil.js被讨论的很多，项目介绍如下

项目被发布到 npm 上后，引起了激烈的讨论，最终因为安全问题被 npm 官方移除，代码也闭源了

作为一个前端老司机，我肯定是反对这种行为，泄私愤有很多种方式，代码里下毒会被 git log 查到，万一违法了，还不如离职的时候给老板一个大逼兜来的解恨

今天我们来讨论一下，如果你作为项目的负责人，如何甄别这种代码下毒

1. 检测函数的 toString
2. iframe
3. node 的 vm
4. ShadowRealm api
5. Object.freeze
6. 备份检测

怎么防止同事用 Evil.js 的代码投毒-视频版 B 站

怎么防止同事用 Evil.js 的代码投毒-完整代码

[woniuppp]

@shanyuhai123 大部分项目 git 都没有 gpg 验证的，提交记录可以伪造的

[woniuppp]

@sherryqueen 有刑法也不耽误自己装防盗门的

[PerFectTime]

写一个 Unevil.js 覆盖所有原型链

[Felldeadbird]

git log 一查就知道谁引入包了。

所以这种项目除了炫技和泄愤，完全感觉不到投毒水平在哪？

真正要给代码投毒，只需要在交易逻辑上写一个 弱智 BUG 就可以了。

let subtotal;

if(subtotal = pay.total ){
xhr ....
}

这种逻辑 BUG ，只要公司没代码自动审查，没单元测试，没自动化。写得隐蔽点，夹在开发中。等某天引爆。

[yy77]

对引入包进行审计。即一般的程序员不能在网上看到某个包觉得好用就引入，需要进行审计之后再引入。

可是真要投毒，不用引入整个包，在某个 util 库里写上一段更难查到。

[GP1]

你那么怕是不是平时压榨剥削员工有一手，导致自己心里有鬼？正常人谁愿意这样恶心人？

[woniuppp]

@GP1 包作者不是我啊 兄弟

[MoYi123]

这种毒还要引第三方库? 自己造的 bug 不比这多?

[soulmine]

谁引发的问题谁负责 为啥要管呢

[darknoll]

老板亲自发帖？

[palxie]

如果你是老板, 确实是你该考虑, 如果你真的只是同事, 那我觉得你戏有点多.

[rbq123456]

为啥要引入这样的包呢，这引入一看 package.json 就知道了。真想投毒就自己偷偷写点不就好了，这毒代码又不复杂，一问就是没注意看，再问就是百度复制的代码

[liuzhedash]

谁是我们的敌人，谁是我们的朋友？

[deng81416754]

我看刑，你们觉得型吗

[vazo]

我就不信大伙热爱这个团队会主动投毒.有些问题看起来是技术问题其实是管理问题.

[NoString]

我的评价是就这就这 还不如我自己写的 bug 厉害

[zr8657]

我觉得全世界的无产阶级是不可能团结起来的，可悲

[dianso]

一个 40 多岁的初中生写的，抱怨社会不公。

[kenvix]

@kikitte 你先别假定他是无产阶级

[liuzhaowei55]

一架飞机上不会有两个人同时携带炸弹，同理一个项目里不会有两个人同时下毒，所以只要你先下手，就可以杜绝同事下毒了。