Me Yasa Package-Lock.JSON Yake Da Muhimmanci Ga Masu Haɓakawa
A cikin ayyukan Node.js, package-lock.json ba kawai fayil ɗin abokin tarayya bane ga package.json. Yana kulle ainihin sigar kowace dogaro da aka shigar, gami da waɗanda aka haɗa. Wannan fayil ɗin yana tabbatar da sake samarwa a cikin mahalli kuma yana hana canje-canje da ba zato ba tsammani lokacin da aka buga sabbin sigar fakiti. Ba tare da shi ba, masu haɓakawa za su yi haɗarin halaye daban-daban a cikin matakan haɓakawa, gwaji, da samarwa saboda canjin bishiyoyin dogaro, har ma da buɗe ƙofa ga yin rubutu na npm idan kurakurai suka shiga cikin fayil ɗin makulli.
Idan aka yi amfani da shi daidai, package-lock.json yana tabbatar da cewa kowa a cikin ƙungiyar ku da kuma ƙungiyar ku CI/CD pipeline installs lambar iri ɗaya. Amma kuskuren kuskure ɗaya a cikin wannan fayil ɗin zai iya mayar da app ɗinka kai tsaye zuwa tarko.
Ta Yaya Nau'in Typos Ke Haifar da Hare-haren Typosquatting na NPM?
Bari mu ce fakitin halal a ciki fakamari.json an rubuta shi daidai, kamar lodashAmma an yi kuskuren rubuta rubutu a ciki kunshin-kulle.json, kamar lodas, har yanzu yana iya shiga cikin bishiyar dogaro da kai, musamman idan wani ya gyara shi da hannu ko kuma kayan aiki mara kyau ya rubuta shi.
Masu kai hari suna amfani da wata dabara da ake kira npm typosquatting. Suna loda fakitin mugunta masu sunaye masu kama da waɗanda suka shahara (misali, amsa-domm, gaggawa, angular) Idan makullin fakitin ku na JSON ya haɗa da kuskuren rubutu kamar haka, npm yana shigar da fakitin mai kai hari ba tare da wata tambaya ba, saboda kun gaya masa a sarari.
Yin amfani da npm wajen rubuta rubutu ba wai kawai a ka'ida ba ne. Hare-haren yin amfani da npm a zahiri sun zama kanun labarai. Ɗaya daga cikin irin waɗannan misalai shine Yarjejeniyar kunshin Coa, inda malic code an aika ta hanyar sabunta fakitin da aka amince da shi. Bambancin shine cewa tare da yin kuskuren rubutu na npm, mai haɓaka shirin ya gayyaci maharin ya shigo ta hanyar kuskuren rubuta dogaro.
Haɗarin Gaske a cikin CI/CD PipelineKurakurai json sun faru ne sakamakon kulle kunshin
Modern CI/CD pipelinemagani kunshin-kulle.json a matsayin tushen gaskiya. A lokacin gini ko tura sojoji, pipeline gudana npm ci or npm shigarwa, duka biyun suna karantawa daga fayil ɗin makulli. Idan akwai kuskuren rubutu, za a jawo kunshin mugunta ta atomatik. Babu faɗakarwa. Babu gargaɗi.
Wannan yana nufin kuskuren da aka gabatar yayin ci gaban gida na iya yaɗuwa a hankali har zuwa shirye-shirye ko ma samarwa. Masu kai hari za su iya saka masu satar bayanai, masu hakar ma'adinai na crypto, ko ƙofofin baya waɗanda ke kunna bayan an tura su. Duk wannan na iya faruwa ba tare da kunna kayan aikin tsaro ba, saboda an "bayyana dogaro" a cikin kunshin-kulle.json.
Wannan ba kuskure ba ne kawai. Keta haddin sarkar samar da kayayyaki ne da ke jiran faruwa, kuma yin amfani da npm wajen rubuta rubutu ya sa hakan ya zama babbar barazana.
Ganowa da Hana Matsalolin Dogaro da Kai don Rage Tasirin NPM Typosquatting
Nau'in rubutu a cikin kunshin-kulle.json ba a iya ganin su sai dai idan ka neme su sosai. Ga yadda za a fara:
- Nazari a tsaye: Wasu kayan aiki ba sa magance waɗannan matsalolin, amma na'urorin daukar hoto na dogaro na musamman za su iya. Haɗa kayan aikin da ke bincika tsarin rubutu na npm kuma duba na'urarka kunshin-kulle.json don rashin daidaito.
- Fayilolin Makulli na Linting: Yi amfani da ƙa'idodin lining na musamman ko plugins don tabbatarwa kunshin-kulle.json shigarwar da aka yi wa jerin abubuwan tsaro da aka sani.
- Sharhin Code: Sharhin abokan hulɗa yana da matuƙar muhimmanci. Bambancin fayil ɗin kulle yana da hayaniya, amma ku koya wa ƙungiyar ku su sake duba su kamar lambar.
- Dubawa ta atomatik: Saita pre-commit hooks ko ayyukan CI don ƙin amincewa da shigarwar da ba a tabbatar ba ko kuma waɗanda ake zargi a ciki kunshin-kulle.json.
Ga misali mai amfani ta amfani da GitHub Actions:
Wannan ba shi da kariya daga harsashi, amma yana nuna sunayen fakiti masu ban mamaki waɗanda zasu iya nuna alamar kuskuren rubutu na npm.
Kare Ayyukan Node.js Kan Yin Amfani da Nau'in NPM da Hare-haren Sarkar Samar da Kayayyaki
Don kulle manhajar Node.js ɗinka da kuma hana kai hari ta hanyar kunshin-kulle.json:
- Tsarin Raba Sigar Tsanani: Guji jerin sigar (^, ~) a cikin fakamari.jsonA kulle duk abubuwan da suka dogara da ainihin sigogin don rage sabuntawa da kuma raguwar da ba a zata ba.
- Tabbatar da Sa hannu: Yi amfani da kayan aiki kamar Sigstore da fasalin asalin npm don tabbatar da sahihancin da asalin fakitin.
- Gine-gine marasa canzawa: Koyaushe amfani npm ci da wani tabbataccen kunshin-kulle.json fayil a cikin yanayin samarwa. Kada ka taɓa dogara da npm shigarwa a lokacin da aka tura shi, domin yana iya gabatar da canje-canje marasa tabbas.
- Ci gaba da Kulawa: Yi amfani da hanyoyin sa ido waɗanda ke sanar da kai lokacin da:
- Sabbin fakiti suna bayyana a cikin naka kunshin-kulle.json
- Kunshin da ke akwai suna canzawa ba zato ba tsammani
- Tsarin da ba a san ko su waye ba (misali, sunayen fakiti kamar gaggawa, amsa-domm, angular) an gano su
- Kayan Aikin Duba Dogara: Haɗa kayan aikin sarrafa kansa kamar npm duba, Rariya, ko Xygeni a cikin CI ɗin ku pipeline don duba raunin da ke tattare da rubutu da kuma alamun rubutu.
- Tsabtace Fayil na Makulli: Magani kunshin-kulle.json a matsayin lambar. Yi bitar sa yayin pull requests, musamman lokacin da aka sabunta ko ƙara abubuwan da suka dogara da su.
- sarrafa kansa Pre-Commit Duba: Amfani pre-commit hooks don tabbatar da fayil ɗin makullin ku kafin ya isa ga ikon sarrafa sigar.
kunshin-kulle.json wani babban maƙasudi ne a hare-haren typosquatting na npm. amsa-domm or lodas yana ba wa maharan hanya kai tsaye zuwa cikin ginin ku pipelineKulawa da wannan fayil ɗin yana da mahimmanci don kiyaye amincin sarkar samar da kayayyaki.
Don haka, Nau'in Nau'i Guda Zai Iya Ruguza Ginin Ka. Kada Ka Bari Ya Ruguje!
An yi kuskuren rubutu a cikin kunshin-kulle.json Ba wai kawai tsarin rubutu mara kyau ba ne; babban abin da ke haifar da barazanar yin kuskuren rubutu na npm ne. Fayil ɗin mai tsaron ƙofa ne, kuma idan an yi masa ɓarna, to naka ne pipeline shi ma. Gyaran ba shi da kyau: rage gudu, duba fayil ɗin kulle, duba ta atomatik, da kuma sa ido kan canje-canje. Amma ya cancanci hakan.
Domin ƙara ƙarfin tsaronka, yi la'akari da amfani da kayan aiki kamar Xygeni, waɗanda aka tsara don gano kuskuren rubutu, duba makullin fakitin JSON fayiloli, da kuma kare mutuncin fakitin a duk faɗin na'urarka CI/CD pipelineA zamanin buɗaɗɗen tushe, ana samun aminci kuma ana tabbatar da shi.
