Intelo tao anatin'ny valo volana, niasa tsara ilay boky torolalana momba ny kankana npm mitovy. Mpanafika samihafa, fonosana samihafa, mekanika mitovy, ary fe-potoana mitovy eo anelanelan'ny famoahana sy ny fitadiavana no nahatonga ny tsirairay ho azo atao. Raha manontany tena ianao hoe inona marina ny kankana npm ary nahoana no miverimberina foana ny lamina fa tsy voavaha, ity no valiny marina, ny tranga, ny mekanika, ary ny banga iray izay mbola avela misokatra na dia rafitra fiarovana matanjaka aza.
Inona no atao hoe npm Worm?
Ny kankana npm dia kaody ratsy avoaka ao amin'ny rejisitra npm izay miparitaka ho azy any amin'ny fonosana hafa rehefa miasa, matetika amin'ny alàlan'ny fangalarana ny fahazoan-dàlana famoahana an'ny mpikojakoja ary mampiasa azy ireo hampiditra entana mitovy amin'ny fonosana rehetra fehezin'ny mpikojakoja. "Kankana" amin'ny heviny mahazatra izy io: tsy miandry olona hametraka azy an-tsitrapo, fa miparitaka irery, fonosana iray mankany amin'ny fonosana iray hafa, kaonty iray mankany amin'ny kaonty iray hafa, amin'ny hafainganam-pandehan'ny milina.
Izany fiparitahana ho azy izany no mampiavaka ny kankana npm amin'ny fonosana ratsy mahazatra. Ny fonosana ratsy tokana dia toy ny fanjaitra ao anaty mololo. Ny kankana npm dia mamadika ny mpikojakoja voajirika rehetra ho toerana fizarana vaovao, ary ny mololo dia manomboka mamorona ny fanjaitrany manokana.
Ireo tranga lehibe indrindra amin'ny kankana npm hatreto
Ny taona lasa teo dia nanome ny lamina kankana npm ho fitsapana telo tena izy, samy mahomby kokoa noho ny teo aloha:
- Shai-Hulud (Septambra 2025). Ny kankana npm voalohany voarakitra an-tsoratra izay miparitaka ho azy. Nanimba ny fahazoan-dàlan'ny mpikojakoja izy io, avy eo nampiasa azy ireo hamoaka dikan-teny ratsy amin'ny fonosana rehetra eo ambany fifehezan'io mpikojakoja io, ka namadika ny mpamorona ho rafitra fanaterana ho an'ny dingana manaraka amin'ny kankana.
- axios (Martsa 2026). Voasintona in-100 tapitrisa eo ho eo isan-kerinandro ny malware-n'ny firenena iray miafina ao anaty fonosana. Tsy kankana amin'ny heviny feno fiparitahana akory, fa porofo fa ny modely fitokisana ny tontolo iainana npm izay nohararaotin'i Shai-Hulud dia afaka mitondra entana amin'ny ambaratonga goavana.
- SAP npm (Aprily 2026). Nolazaina tamin'izany fotoana izany ho toy ny Shai-Hulud kely: ilay lamina kankana mitovy, miverimberina amin'ny ankapobeny, latsaky ny herintaona taorian'ny tranga voalohany. Tsy niova ny fomba fiasa. Ny fiarovana koa dia tsy niova ny ankamaroany.
Tranga telo momba ny kankana npm, lamina miverimberina iray: manimba mpamoaka lahatsoratra azo itokisana, mampiasa ny fahazoan-dalany mba hampielezana ho azy, ary miantehitra amin'ny elanelana misy eo amin'ny famoahana sy ny fahitan'ny vondrom-piarahamonina ny ambiny.
Ny lamina miverimberina
Esory ireo antsipiriany ary ny tranganà kankana npm rehetra dia manaraka ireo gadona efatra mitovy:
- Fidiran'ny kaonty an-tsokosoko. Token famoahana an'ny mpikojakoja, npm login, na angalarina ny fahazoan-dàlana CI, matetika amin'ny alàlan'ny phishing, tsiambaratelo tafaporitsaka, na fiankinan-doha voajirika any amin'ny ambaratonga ambony kokoa amin'ny rojo misy azy manokana.
- Tsindrona mangina. Manosika dikan-teny vaovao amin'ny fonosana ara-dalàna sy azo itokisana misy kaody mampidi-doza ilay mpanafika, matetika ao anatin'ny script aorian'ny fametrahana na script hafa izay miasa ho azy raha vao misy olona mametraka azy.
- Fampielezana mandeha ho azy. Raha mifehy fonosana hafa ilay mpikojakoja voajirika, na raha maka fahazoan-dàlana fanampiny ilay script maloto, dia miparitaka any amin'ny fonosana manaraka sy ny mpikojakoja manaraka ilay kankana tsy misy hetsika fanampiny avy amin'ny mpanafika.
- Ny fahatarana amin'ny fitadiavana. Mipetraka ao amin'ny rejisitra ilay fonosana, azon'ny rehetra apetraka, mandra-pahitan'ny olona iray, hitatitra izany, ary avy eo dia sintonina. Izany fahatarana izany, ora maro ho an'ny tranga sasany, andro maromaro ho an'ny hafa, no fe-potoana manontolo ilain'ny kankana.
Ny fahafantarana fa ny kapoka fahefatra no tena zava-dehibe amin'ny fiarovana. Ny paikady rehetra hampihenana ny tranganà kankana npm dia, amin'ny fotony, ezaka hampihenana na handalovana izany fahatarana amin'ny fitadiavana izany.
Rafitra iray mendrika hotononina: Vahaolana avy amin'ny SIP amin'ny olan'ny cooldown
Tsy avy amin'ny mpivarotra avokoa ny valinteny rehetra amin'ity lamina ity. Ny iray amin'ireo mazava indrindra dia SIP, Drafitra Fiarovana eo no ho eo an'i Mohammad-Ali A'râbi, rafitra vonjy taitra misy fanaraha-maso dimy ho an'ny risika amin'ny rojo famatsiana rindrambaiko izay avy amin'ny fanontaniana tena azo ampiharina napetraka tamin'ny faran'ny fivoriana SafeDev: "Raha zavatra vitsivitsy ihany no azontsika atao, inona no tokony hataontsika voalohany?"
Ny fanaraha-maso faharoa an'ny SIP dia mikendry mivantana ny olan'ny kankana npm: mampiato ny fiankinan-doha tsy voamarina miaraka amin'ny fe-potoana fiatoana dimy andro, ary manafoana ny script lifecycle mba tsy hahafahan'ny postinstall ratsy miasa ho azy mandritra ny fametrahana. Amin'ny fampiharana, izany dia min-release-age=5 sy ignore-scripts=true ao anatin'ny tetikasa iray .npmrc, ampiharina ao amin'ny CI ka tsy afaka mamaha moramora fonosana navoaka omaly ny rakitra mihidy. Fanaraha-maso tena tsara sy tsy mitaky ezaka be izy io, ary mikendry mivantana ny fahatarana mitovy amin'ny fitadiavana izay iankinan'ny tranganà kankana npm rehetra. Midira ao:
Aiza no mbola mamela banga ny varavarankely cooldown
Ny fe-potoana fiandrasana dia filokana: ny hoe ho tsikaritry ny vondrom-piarahamonina sy hitatitra fonosana manimba alohan'ny hifaranan'ny fe-potoana fiandrasana. Matetika, io filokana io dia mahomby. Ampahany betsaka amin'ireo fonosana voajirika no voamarika ao anatin'ny andro vitsivitsy voalohany amin'ny famoahana azy, izay indrindra no mahatonga ny fe-potoana dimy andro ho safidy mety.
Saingy tsy mitondra tena toy ny fonosana ratsy mahazatra ny kankana npm, ary izany dia manova izay azon'ny cooldown raikitra atao sy izay tsy azony atao ho anao.
Ho mialohacise momba ny hafainganam-pandeha: Ny kankana miparitaka haingana dia tsy maharesy ny "cooldown". Raha mampihatra taona famoahana farany ambany hentitra ianao, dia mbola vaovao loatra ireo fonosana navoaka nandritra io andiany voalohany io ka tsy azo ampidirina amin'ny fananganana, na firy na firy ny fonosana simba amin'ny kankana mandritra izany fotoana izany. Zava-dehibe ny hafainganam-pandeha, fa zava-dehibe ho an'izay rehetra manaraka izay tsy manao "cooldown", tsy ho an'ny fandresena ilay efa ampiharina.
Ny tena fetra dia ny faharetana. Mety hijanona tsy miasa ny entana mitandrina kokoa aorian'ny fe-potoana cooldown, ka tsy hiasa raha tsy efa lasa ny andro ary efa antitra ao amin'ny faritra "atokisana" ny fonosana, alohan'nycissatria fantany fa misy fiatoana kely miandry. Izany no toe-javatra izay tsy ampy ny fiatoana kely raikitra fotsiny, ary indrindra indrindra izay ilàna zavatra toy ny fitadiavana mifototra amin'ny porofo an'ny MEW eo anilany, fa tsy solony.
Tsy misy lesoka amin'ny fisainan'ny SIP ny "failure mode". Ny "cooldown" dia filokana amin'ny fitadiavana ny "community", ary ny fitadiavana ny "community" dia manana fetrany: tsy afaka misambotra izay mbola tsy nisy nitatitra. Tsy banga manokana ho an'ny SIP izany, fa fetra ara-drafitra ho an'ny fiarovana rehetra izay miandry sonia, torohevitra, na tatitra ho an'ny daholobe vao mihetsika.
Ahoana no hanakatonan'ny MEW ny elanelan'ny "Cooldown-Window"
Ity dia mialohacisely ny banga Fampitandremana mialoha momba ny rindrambaiko maloto (MEW) an'ny Xygeni natao hikatona. Tsy miandry ny tatitry ny vondrom-piarahamonina na sonia navoaka ny MEW, fa mijery tsy tapaka ny NPM, PyPI, ary Maven rehefa misy fonosana sy dikan-teny vaovao avoaka, mandinika ny fitondran-tena fa tsy mampifanaraka amin'ny fandrahonana fantatra. Rehefa toa misy zavatra ratsy, dia atokana ary hamarinin'ireo mpikaroka momba ny fiarovana ny zavatra hita alohan'ny famoahana ampahibemaso, fa tsy aorian'izay.
Zava-dehibe io fahasamihafana io ho an'ireo fomba roa tsy fahombiazan'ny kankana npm etsy ambony. Amin'ny kankana miparitaka haingana, ny fitadiavana mialoha ny sonia dia tsy mila ny dimy andro izay heverina fa ananany rehefa misy cooldown. Amin'ny entana marary sy matory, ny famakafakana ny fitondran-tenan'ny MEW dia tsy mitady taona na laza, fa mitady izay tena ataon'ny kaody, ka ny fiandrasana ny varavarankelin'ny cooldown dia tsy mividy na inona na inona ho an'ny mpanafika.
Manitatra izany hatrany amin'ny fametrahana azy mihitsy ny Dependency Firewall an'ny MEW, manakana fonosana mampidi-doza amin'ny fotoana tena izy na dia tsy nandalo ny fanamarinana teo aloha aza izany, ary io sosona fitadiavana io ihany no mandrakotra ny CI/CD lafiny iray amin'ny tranganà kankana npm: ny lamina unlock-branch, inject, re-lock izay ahafahan'ny mpanafika manosika rakitra ratsy commit ary manarona mangina ny dian-tongony, miaraka amin'ny fanaraha-maso feno raha sendra mitranga ihany izany.
Mamaly fanontaniana mitovy amin'ny sosona samihafa ny SIP sy MEW
Tsy misy amin'izany no mahatonga ny fanaraha-maso ny cooldown an'ny SIP ho diso, ary mendrika ny holazaina mazava tsara: ny cooldown dimy andro miaraka amin'ny script lifecycle tsy mandeha dia mbola iray amin'ireo fiarovana haingana sy mora indrindra azon'ny ekipa apetraka amin'ny tranganà kankana npm mahazatra, ary anisan'ny drafitra fanamafisana ny rojo famatsiana matotra izany. Ny tsy azony atao, araka ny drafitra, dia ny misambotra izay mbola tsy hitan'ny vondrom-piarahamonina. Asa ho an'ny fitadiavana mitohy mifototra amin'ny fitondran-tena miasa ao ambanin'ny cooldown izany, fa tsy solony.
Raha ampiarahina ireo sosona roa ireo, dia samy mahafaoka ny lafiny roa amin'ny olana iray ihany ireo fomba fiasa roa ireo: Manamafy ny fananganana ny SIP pipeline, ny fiatoan'ny fiankinan-doha, ary ny sarin'ny fitoeran-javatra manodidina ny tontolon'ny fandrahonana fantatra sy nambara, raha toa kosa ny fitadiavana mialoha ny sonia an'ny MEW dia mandrakotra ny tranganà kankana npm izay mbola tsy nambara, ireo izay tsy hitan'ny varavarankely fiatoana, araka ny lojikany manokana, ho avy.
FAQ
Inona no atao hoe kankana npm, amin'ny fehezanteny iray?
Kaody ratsy avoaka ao amin'ny npm izay miparitaka ho azy any amin'ny fonosana hafa, matetika amin'ny alàlan'ny fangalarana ny fahazoan-dàlan'ny mpikojakoja ary mampiasa azy ireo hampidirana ny entana mitovy any an-kafa, tsy misy hetsika fanampiny avy amin'ny mpanafika.
Kankana npm ve ny fonosana npm ratsy rehetra?
Tsia. Ny fonosana ratsy izay tsy miparitaka ho azy dia fanafihana amin'ny rojo famatsiana, fa tsy kankana. Ny mamaritra manokana ny tranganà kankana npm dia ny dingana fampielezana tena: ny fifanarahana iray dia mitarika ho azy amin'ny manaraka.
Mampijanona ny kankana npm ve ny fe-potoana fiatoana amin'ny fiankinan-doha?
Mampihena be ny risika izany, satria ny ankamaroan'ny fonosana manimba dia taterina ao anatin'ny andro vitsivitsy voalohany amin'ny famoahana azy. Saingy ny fiatoana dia filokana amin'ny hafainganam-pandehan'ny fahitana ny vondrom-piarahamonina, ary azo amboarina manokana ny kankana npm miely haingana na niniana natory mba handresena izany fotoana izany.
Inona no tena mahazo ny kankana npm alohan'ny fe-potoana cooldown?
Fijerena mitohy sy mifototra amin'ny fitondran-tena izay tsy miankina amin'ny sonia na tatitra ho an'ny daholobe efa misy. Izany no fitaovana manokana hamantarana ny banga mialoha ny sonia toy ny MEW an'ny Xygeni izay natao hanakatonana.
