Nahoana no zava-dehibe ho an'ny mpamorona ny Package-Lock.JSON
Ao amin'ny tetikasa Node.js, ny package-lock.json dia tsy rakitra mpiara-miasa amin'ny package.json fotsiny. Izy io dia manidy ny dikan-teny marina amin'ny fiankinan-doha rehetra napetraka, anisan'izany ireo natambatra. Ity rakitra ity dia miantoka ny famerenana amin'ny laoniny manerana ny tontolo iainana ary misoroka ny fiovana tsy ampoizina rehefa avoaka ny dikan-teny fonosana vaovao. Raha tsy misy azy, dia mety hiatrika fitondran-tena samihafa amin'ny dingana dev, test, ary production ny mpamorona noho ny fiovan'ny hazo fiankinan-doha, ary mety hanokatra varavarana ho an'ny typosquatting npm mihitsy aza raha toa ka miditra ao amin'ny lockfile ny fahadisoana.
Rehefa ampiasaina tsara, ny package-lock.json dia miantoka fa ny rehetra ao amin'ny ekipanao sy ny anao CI/CD pipeline fametrahana io kaody io ihany. Saingy fahadisoana kely iray tsy misy dikany amin'ity rakitra ity dia mety hamindra mivantana ny fampiharanao any amin'ny fandrika.
Ahoana no mahatonga ny typo ho fanafihana typosquatting NPM?
Andeha hatao hoe fonosana ara-dalàna ao amin'ny package.json voasoratra araka ny tokony ho izy, toy ny lodashSaingy nisy fidirana diso tao amin'ny package-lock.json, toy ny lodas, dia mbola mety hiditra an-tsokosoko ao amin'ny hazo fiankinan-dohanao, indrindra raha nisy olona nanitsy azy tamin'ny tanana na fitaovana tsy mandeha tsara no nanoratra azy.
Miantehitra amin'ireo fahadisoana diso ireo mpanafika amin'ny alalan'ny teknika antsoina hoe npm typosquatting. Mametraka fonosana manimba misy anarana mitovy amin'ireo malaza izy ireo (ohatra, fihetsika-domm, maneho, angularRaha misy diso tsipelina toy izany ao amin'ny JSON-nao momba ny hidin'ny fonosana, dia mametraka ny fonosan'ny mpanafika tsy misy fanontaniana ny npm, satria efa nilazanao mazava tsara izany.
Tsy teorika fotsiny ny fanaovana typosquatting npm. Ny fanafihana typosquatting npm tena izy dia efa nalaza be. Ohatra iray amin'izany ny Fifandonana amin'ny fonosana Coa, izay kaody manimba nalefa tamin'ny alalan'ny fanavaozana avy amin'ny fonosana azo itokisana. Ny mahasamihafa azy dia rehefa misy typosquatting npm, dia manasa tsy nahy ny mpanafika ny mpamorona amin'ny alàlan'ny fanoratana diso ny fiankinan-doha.
Loza tena izy ao amin'ny CI/CD PipelineVokatry ny fahadisoana json amin'ny hidin'ny fonosana
Modern CI/CD pipelinefitsaboana package-lock.json ho loharanon'ny fahamarinana. Mandritra ny fananganana na ny fametrahana, ny pipeline mihazakazaka npm ci or npm install, izay samy mamaky avy amin'ny rakitra hidin-trano. Raha misy diso tsipelina, dia ho voasintona ho azy ilay fonosana mampidi-doza. Tsy misy fampandrenesana. Tsy misy bitsika.
Midika izany fa ny fahadisoana amin'ny fandikana teny an-toerana dia mety hiely mangina hatrany amin'ny dingana fanomanana na famokarana mihitsy aza. Ny mpanafika dia afaka mampiditra mpangalatra fahazoan-dàlana, mpitrandraka crypto, na varavarana ambadika izay manetsika ny fametrahana aorian'ny fametrahana. Izany rehetra izany dia mety hitranga tsy misy fitaovana fiarovana, satria ny fiankinan-doha dia "nambara" tao amin'ny package-lock.json.
Tsy fahadisoana fotsiny ity. Fanitsakitsahana ny rojo famatsiana miandry hitranga izany, ary ny typosquatting npm dia mahatonga azy io ho tena fandrahonana.
Fitiliana sy Fisorohana ny Typos Miankina mba hampihenana ny Typosquatting NPM
Diso tsipelina package-lock.json tsy hita maso raha tsy mitady azy ireo amim-pahavitrihana ianao. Toy izao ny fomba hanombohana:
- Fanadihadiana staticMisy fitaovana sasany tsy mahavaha ireo olana ireo, fa afaka mahavaha ireo olana ireo ny "dependance scanners" natokana ho azy. Ampidiro ireo fitaovana izay mikaroka ireo lamina fanoratana diso npm ary jereo ny anao package-lock.json noho ny tsy fitoviana.
- Linting LockfilesAmpiasao ny fitsipika na plugins manokana momba ny linting mba hanamarinana package-lock.json fidirana mifandraika amin'ny lisitra azo antoka fantatra.
- Code ReviewsTena ilaina ny famerenana ataon'ny mpiara-mianatra. Mitabataba ny Lockfile diffs, fa ampianaro ny ekipanao handinika azy ireo toy ny kaody.
- Fanamarinana mandeha ho azy: Hametraka pre-commit hooks na asa CI mba handà ireo fidirana tsy voamarina na mampiahiahy package-lock.json.
Ireto misy ohatra azo ampiharina amin'ny fampiasana ny GitHub Actions:
Tsy hoe tsy azo resena tanteraka ity, fa mampiseho anarana hafahafa amin'ny fonosana izay mety hanambara fa misy diso amin'ny npm.
Fiarovana ireo tetikasa Node.js amin'ny fanafihana NPM Typosquatting sy ny fanafihana amin'ny rojo famatsiana
Mba hanidiana ny fampiharana Node.js anao sy hisorohana ny fanafihana amin'ny alàlan'ny package-lock.json:
- Fametahana dikan-teny henjana: Fadio ny karazana version (^, ~) ao package.jsonHidio amin'ny dikan-teny marina avokoa ny fiankinan-doha rehetra mba hampihenana ny fanavaozana tsy ampoizina sy ny fiovaovan'ny fiovana.
- Fanamarinana soniaAmpiasao ireo fitaovana toy ny Sigstore sy ny endri-javatra niavian'ny npm mba hanamarinana ny maha-azo itokiana sy ny niandohan'ireo fonosana.
- Fanorenana tsy azo ovaina: Ampiasao foana npm ci miaraka amin'ny fanamarinana package-lock.json rakitra ao amin'ny tontolo famokarana. Aza miantehitra amin'ny npm install mandritra ny fametrahana, satria mety hampiditra fanovana tsy voamarina izany.
- Fanaraha-maso maharitraAmpiasao ireo vahaolana fanaraha-maso izay mampitandrina anao rehefa:
- Misy fonosana vaovao miseho ao amin'ny anao package-lock.json
- Miova tampoka ireo fonosana efa misy
- Lamina mampiahiahy (ohatra, anaran'ny fonosana toy ny maneho, fihetsika-domm, angular) dia hita
- Fitaovana fanaraha-maso ny fiankinan-doha: Ampidiro ireo fitaovana mandeha ho azy toy ny npm audit, Snyk, na Xygeni ao amin'ny CI-nao pipeline hijerena ireo fahalemena sy ireo mari-pamantarana misy lesoka amin'ny tsipelina.
- Fahadiovana Lockfile: Fitsaboana package-lock.json toy ny kaody. Avereno jerena mandritra ny pull requests, indrindra rehefa havaozina na ampiana ireo fiankinan-doha.
- mandeha ho azy Pre-Commit taratasim-bola: Mampiasà pre-commit hooks mba hanamarinana ny rakitra lock-nao alohan'ny hahatongavany amin'ny fanaraha-maso ny dikan-teny.
package-lock.json dia lasibatra sarobidy amin'ny fanafihana typosquatting npm. Typo toy ny fihetsika-domm or lodas manome lalana mivantana ho an'ny mpanafika hiditra ao amin'ny fanangananao pipelineIlaina ny fitandremana manodidina ity rakitra ity mba hihazonana ny fahamarinan'ny rojo famatsiana.
Koa, diso tsipelina iray monja dia mety hanimba ny fomba fanoratanao. Aza avela hitranga izany!
Nisy diso tsipelina package-lock.json tsy hoe kaody tsy milamina fotsiny; tena loza mitatao ho an'ny typosquatting npm izany. Mpiambina vavahady ilay rakitra, ary raha voajirika izy io, ny anao pipeline dia be loatra. Tsy dia mahafinaritra loatra ny vahaolana: miadana, avereno jerena ny rakitra hidiana, mandeha ho azy ny fanamarinana, ary araho maso ny fanovana. Saingy mendrika izany.
Mba hanatsarana ny fiarovanao, diniho ny fampiasana fitaovana toy ny Xygeni, izay natao hamantarana ny typosquatting, hanamarina JSON hidin'ny fonosana rakitra, ary miaro ny fahamarinan'ny fonosana mandritra ny fotoana rehetra CI/CD pipelineAmin'izao vanim-potoanan'ny open source izao, dia azo atao ny mahazo sy manamarina ny fitokisana.
