新的前端 npm 包投毒事件

[CHTuring]

起因：vue 官方转发推文（ https://twitter.com/ewind1994/status/1610868861976604673 ），一个名为 chalk-next 复刻 chalk 的包文件中包含递归删除本地配置代码。

NPM 地址： https://www.npmjs.com/package/chalk-next

NPM 帐号： https://www.npmjs.com/~vabjs

作者：chu1204505056 ，为 vue-admin-beautiful 前端 Admin 项目的作者

Github： https://github.com/chuzhixin

查到 V2EX 相关贴：《实名抵制 vue-admin-beautiful 》（ https://www.v2ex.com/t/793276?p=1 ）

[rongchuan]

在 twitter 上看到，来 v 站一看，果然有人发了

[walker001]

上次被这个人恶心到我还是...现在还是...

[lawler]

如果你看过 TA 在 V 站营销 vue-admin-beautiful 框架，就知道作者心智属于那个群体了。
我真的是每次找前端脚手架，都”特意“避开 vue-admin-beautiful 这个框架。

从 TA 的言论不难判断出，TA 为了吃饭可能做一些极端的事情。

[msojocs]

@ihciah 哈哈，我那个“弄”就是指这个“D”。

[rongchuan]

还把 vue-admin-beautiful 改名改成 vue-admin-better 了，换个马甲就以为没人认识了吗？

[rongchuan]

@rabbbit 我翻了翻，vuejs.cli 和 element 的 contributor 里没找到他。
在他自己的 github activity 里找了会儿，好不容易找到一个对 vuejs.cli 的中文文档的 pr
嗯....这也 pin 的吗？

[elboble]

Za

[x86]

前端娱乐圈名不虚传

[elboble]

看几个 next 包都是几个月甚至十个月前最后更新的了，也就是这些危险代码已经存在很久了。

[Aloento]

笑死，这人 8 行

[Jooooooooo]

疑问: 为什么很少听说后端第三方包投毒?

[sakuraSou]

事比女一个

[IvanLi127]

推里截图那个这提 pr 的 heng1025 是 chu1204505056 的走狗么？

[learningman]

@Jooooooooo #31 也就这几天的事，pytorch-nightly 也被投毒了

[cslive]

@Jooooooooo 后端都是用 apache 之类组织的包，很少会用个人的包

[learningman]

@rabbbit #9 以前甚至只要提过 PR 就能 pin 了，都不用合并
现在应该是合并了才行

[ZRS]

够得上破坏计算机信息系统罪了

[Jooooooooo]

@cslive 这就引出另外一个问题, 为啥前端总用个人开发的包.

[Sendya]

这人之前好像来骂过我

[patrickyoung]

也请各位保留证据，向 npm 和 gh 都发投诉 report abuse ，让这种人更少骗人。