He aha ka mea e hana maoli ai ke holo ʻoe i ka npm i -s
Ke kikokiko ʻoe npm i -s, ke hana nei ʻoe i kahi mea ʻoi aku ma mua o ke kau ʻana i kahi mea hilinaʻi; ke hoʻololi nei ʻoe i ke kaulahao lako o kāu papahana. ka -s he pōkole ka hae no –mālamaʻO ka holo ʻana o npm i -s a i ʻole npm install –save e hoʻouka i kahi pūʻolo a hoʻopaʻa iā ia i loko o ka nā dependencies ʻāpana o kāu pakete.jsonMai ia manawa mai, kēlā me kēia kaiapuni e holo ana npm hoʻokomo e hoʻoiho i kēlā hilinaʻi like.
la'ana:
He mea kūpono kēlā, akā he mea mau nō hoʻi. Inā ʻaʻole i hōʻoia ʻia ke kumu pūʻolo, a inā paha e komo pū ana ka lāʻau hilinaʻi me nā pūʻolo hilinaʻi ʻole, ke laka nei ʻoe i kahi vector hoʻouka kaua e hele ana ma o kēlā me kēia kūkulu ʻana, kēlā me kēia kaiapuni, a me kēlā me kēia mīkini hoʻomohala. Hiki i nā pūʻolo i hōʻoia ʻole ʻia ke loaʻa:
- Nā kāhea hoʻihoʻi pūnaewele huna
- Kōmike hoʻokaʻawale ʻikepili
- Nā palapala hoʻonohonoho ma hope o ka hoʻouka ʻana e holo aunoa
ʻAʻole weliweli ke kauoha npm i -s iā ia iho, akā ʻo ka mea āna e hoʻokomo ai, a mai hea mai, hiki ke wehe i ka puka i nā pūʻolo ʻino npm e hoʻopilikia malū i kāu papahana.
Pehea e hoʻohana ai nā mea hoʻouka i ka npm e hāʻawi i nā pūʻolo ʻino
Makemake nā mea hoʻouka kaua i ka npm no ka mea aia ia ma ke kikowaena o ka hoʻomohala ʻana i nā noi hou. I kēlā me kēia manawa e holo ai kahi mea hoʻomohala i ka npm install -save, aia kahi manawa kūpono no ka hoʻokuʻu ʻana inā ʻaʻole i hōʻoia pono ʻia nā kumu hilinaʻi.
Nā Vectors Hoʻouka Maʻamau
- Ke kākau ʻana: Hoʻopuka nā mea hoʻouka i nā pūʻolo me nā inoa e like me nā mea kaulana. Laʻana: ke kau ʻana ka hoike ma kahi o ka hoike ma o npm i -s, hoʻouka ka "s" keu i kahi pūʻolo trojan.
- Ka Huikau o ka Hilinaʻi: He hilinaʻi pilikino e like me @internal/api-client hiki ke uhi ʻia e kahi pūʻolo npm lehulehu o ka inoa like.
Ke holo kahi mea hoʻomohala i ka npm i -s @internal/api-client, e hoʻokomo ʻia ka mana lehulehu ʻino. - Nā mea mālama i hoʻopilikia ʻia: Hoʻopaʻa nā mea hoʻouka i nā moʻokāki kūpono a hoʻokomo paha i ke code ʻino i loko o nā papahana hilinaʻi, e hoʻohuli ana i kahi hilinaʻi i ʻike ʻia i kahi vector maʻi.
Laʻana o ka hoʻokomo ʻino:
❌ Laʻana o ka ʻāpana hilinaʻi ʻino
Ua pā ʻia nā hui nui e nā pūʻolo ʻino npm e pālahalaha ana ma o standard npm hoʻouka - mālama nā kauoha. Hoʻohana nā mea hoʻouka i ke kaulahao hilinaʻi, a ʻike pinepine nā mea hoʻomohala a hiki i ka hoʻomaka ʻana o nā palapala hōʻoia a i ʻole ka ʻikepili e liki.
ʻO ka hoʻoweliweli leo ʻole o nā palapala hoʻouka a me ka hoʻouka ma hope o ka hoʻouka ʻana Hooks – npm i -s
ʻAe ka ʻōnaehana npm i nā pūʻolo e hoʻokō i nā palapala ola e like me e hoʻohui or ma hope o ke kau ʻana ʻakomi. He mea pono kēlā no ke kūkulu ʻana i nā binaries, akā he puka hāmama nō hoʻi ia no ka hana ʻino. Ke holo ʻoe i ka npm i -s a i ʻole npm install –save, hoʻokō aunoa ʻo npm i kēia mau palapala me ka ʻole o ke noi ʻana no ka hōʻoia. hilinaʻi ʻino hiki ke hoʻohana i kēia ʻano hana i:
- Hoʻomaka i nā kauoha ʻōnaehana
- E hana i nā puka hope i loko o ke kaiapuni kūloko
- ʻAihue i nā kī SSH, nā hōʻailona, a i ʻole nā loli kaiapuni
Laʻana (ʻano hana ʻino ʻole akā pilikia):
If hoʻonohonoho.js inā ua pani ʻia a hoʻololi ʻia paha ma uka, hiki i kāu ʻōnaehana ke hoʻokō malū i ke code i kāohi ʻia e ka mea hoʻouka i ka wā o ke kau ʻana. In CI/CD pipelines, kahi npm i -s holo aunoa i ka wā o ke kūkulu ʻana, piʻi aʻe kēia pilikia. Hiki i kahi pūʻolo ʻino npm hoʻokahi ke hoʻopilikia i ka mea hana kūkulu, exfiltrate i nā mea huna o ke kaiapuni, a i ʻole e hoʻopilikia i nā mea hana hoʻolaha.
No ke aha i lawa ʻole ai ka loiloi pūʻolo manual me npm i -s
Manaʻo pinepine nā mea hoʻomohala e nānā ana i kahi pakete.json ʻO ka faila a i ʻole ka heluhelu ʻana i ka README o kahi waihona e hōʻoiaʻiʻo i ka palekana. ʻAʻole ia. Hiki i kahi npm install -save hoʻokahi ke huki i nā ʻumi, i kekahi manawa he mau haneli, o nā hilinaʻi transitive. Hiki i kēlā me kēia ke hoʻolauna i nā nāwaliwali a i ʻole ke code ʻino me ka ʻike ʻole ʻia i kāu mau hilinaʻi kiʻekiʻe.
Pilikia Honua Maoli: Ka Hohola ʻana o ka Hilinaʻi
Hiki i kahi papahana me 20 mau hilinaʻi pololei ke hoʻopau maʻalahi me 500+ mau mea transitive. ʻAʻole hiki ke nānā lima iā lākou. Hoʻohana nā mea hoʻouka i kēlā paʻakikī e hūnā i nā pūʻolo ʻino npm i loko o ka lāʻau.
Papa Inoa Liʻiliʻi no ka Hoʻohana ʻana i ka Hilinaʻi Palekana
- hoʻohana npm hooia a npm ls e ʻike i nā mea hilinaʻi huna.
- E nānā i ka mea kākau pūʻolo a me nā lā hoʻopou hou hope loa ma mua o ka holo ʻana i ka npm i -s.
- E pale i ka hoʻouka ʻana mai nā URL i hōʻoia ʻole ʻia a i ʻole nā repos Git.
- E nānā no nā palapala kānalua (e hoʻohui, e hoʻomākaukau, ma hope o ke kau ʻanai pakete.json.
- Laka i nā mana me ka hoʻohana ʻana package-lock.json a hiki i ka hōʻoia ʻana o ke kau inoa.
He hoʻomaka ka loiloi lima ʻana, akā he mea koi ka hana ʻakomi no ka palekana maoli.
Hoʻohui i ka Hilinaʻi ʻana i ka Hilinaʻi a me nā Mana Hoʻomalu i loko CI/CD
Nā Hana Hoʻomohala Hou pipelines pono e mālama i kēlā me kēia npm i -s ma ke ʻano he wahi komo no nā pūʻolo ʻino npm. ʻAʻole koho ka scan dependency; he ʻāpana ia o kāu hoʻomaʻemaʻe kūkulu.
Nā Hoʻolālā Hana Hoʻokele Hana
- Ka Nānā ʻana i ka Hilinaʻi Paʻa: E hoʻohana i nā scanner hana ponoʻī e nānā i nā pūʻolo ʻino a palupalu paha i ʻike ʻia ma mua o nā pae kūkulu.
- hōʻoia pūlima: E hōʻoia i ka pono o ka pūʻolo ma o ka hoʻohālikelike hash a i ʻole ka metadata i kau inoa ʻia.
- Hoʻokō kulekele: E pale i nā kumu i hōʻoia ʻole ʻia mai ka hoʻouka ʻana.
la'ana pipeline hoʻonohonoho hoʻonohonoho:
Ke hoʻohui nei i kēia i kāu CI/CD hōʻoia i ka hōʻoia ʻia o kēlā me kēia npm install –save. ʻO kēlā me kēia pūʻolo i kū ʻole i ke kulekele, ʻaʻole i kau inoa ʻia, ʻike ʻole ʻia, a i ʻole pilikia paha, e ālai ʻia aunoa. ʻAʻole wale kēia e pale aku i nā ʻōnaehana kūkulu akā pale pū kekahi i ka haumia ma lalo o nā wahi hana.
Ke kūkulu ʻana i kahi kaulahao lako hilinaʻi: Mai npm a i ka hana ʻana
ʻAʻole pau ka palekana i ka manawa hoʻokomo. Hāʻawi kēlā me kēia kauoha npm i -s i kāu kaulahao lako polokalamu, a inā ʻaʻole i hōʻoia ʻia, he pilikia ia.
No ke kūkulu ʻana i ka hilinaʻi mai ka hoʻomaka a i ka hopena:
- paha SBOMs (Pākuhi Polokalamu o nā Mea Hana)E hahai i kēlā me kēia mana a me ke kumu o ka pūʻolo.
- E hoʻohana i nā hoʻokuʻu i kau inoa ʻia: E hoʻohana i ke kau inoa ʻana o ka pūʻolo a i ʻole ka hōʻoia pūlima e hōʻoia i ka ʻoiaʻiʻo.
- E hōʻoia i kēlā me kēia pae: E hoʻopili i nā hōʻoia kūpaʻa ʻaʻole wale ma CI, akā i ka wā o ka hoʻolaha ʻana a me ka runtime.
- Hoʻokaʻawale i nā Kūkulu: E holo i nā hoʻouka ʻana i loko o nā pahu one e pale aku i ke komo ʻana o ka pūnaewele a i ʻole ka faila i ʻae ʻole ʻia.
Laʻana o ka hoʻonohonoho kuki palekana no nā kaiapuni API, i hōʻike pinepine ʻia ma o nā hilinaʻi i loaʻa i ka maʻi:
Mana palekana, hoʻoiho, hōʻoia, a laila hoʻokō
ʻO kēia mau ana, i hui pū ʻia me ka nānā ʻana i ka hilinaʻi automated, hiki ke hoʻopau i nā pūʻolo ʻino npm ma mua o ko lākou laha ʻana ma o kāu kaulahao hoʻolako.
Hopena: E hoʻopaʻa i kāu mau hoʻonohonoho npm ma mua o ko lākou hoʻopaʻa ʻana iā ʻoe
ʻO kēlā me kēia kauoha npm i -s a i ʻole npm install –save e hoʻolauna i nā mea hou aʻe ma mua o ka hana wale nō; hoʻolauna ia i ka hilinaʻi. A ʻo ka hilinaʻi me ka ʻole o ka hōʻoia he pilikia ia.
No ka pale ʻana i kāu kaulahao lako polokalamu:
- Hoʻopaʻa pono i ka hōʻoia hilinaʻi
- Hoʻokō i ke kau inoa a me ka hōʻoia ʻana o ka pono
- E nānā mau no nā pūʻolo ʻino npm
- E ālai i nā kumu i hōʻoia ʻole ʻia i ka wā mua o kāu CI/CD
ʻO Xygeni kōkua i nā hui DevSecOps e ʻike a ālai i nā hilinaʻi npm ʻino, hoʻokō i nā kulekele pūʻolo, a nānā i ka pono o ke kūkulu ʻana, e hōʻoiaʻiʻo ana ʻo ka mea āu e hoʻokomo ai ʻo ia ka mea āu e manaʻo ai e holo.
No ka mea, i ka palekana o ke kaulahao lako, ʻaʻole ka pale ʻana he hana kūkulu; ʻo ia ke kahua.
