Hobaneng Package-Lock.JSON e le ea Bohlokoa bakeng sa Bahlahisi
Mererong ea Node.js, package-lock.json ha se faele e tsamaisanang le package.json feela. E notlela mefuta e nepahetseng ea ho itšetleha ka ho kentsoe, ho kenyeletsoa le tse nang le lihlaha. Faele ena e netefatsa ho ikatisa hape libakeng tsohle 'me e thibela liphetoho tse sa lebelloang ha mefuta e mecha ea liphutheloana e hatisoa. Ntle le eona, bahlahisi ba ne ba tla beha boitšoaro bo fapaneng kotsing mekhahlelong ea dev, test, le tlhahiso ka lebaka la ho fetoha ha lifate tsa ho itšetleha, esita le ho bula monyako oa ho ngola ka npm haeba liphoso li kenella faeleng ea ho koala.
Ha e sebelisoa hantle, package-lock.json e netefatsa bohle sehlopheng sa hau le sa hau CI/CD pipeline ho kenya khoutu e tšoanang. Empa phoso e le 'ngoe e khutsitseng faeleng ena e ka fetisetsa sesebelisoa sa hau lerabeng ka ho toba.
Typos e lebisa joang ho litlhaselo tsa NPM Typosquatting?
A re re sephutheloana se molaong ho sejana.json e peletiloe hantle, joalo ka lodashEmpa keno e ngotsoeng hampe ho package-lock.json, joalo ka lodas, e ntse e ka kena ka sekhukhu sefateng sa hao sa ho itšetleha ka batho, haholo-holo haeba motho e mong a e hlophisitse ka letsoho kapa sesebelisoa se nang le phoso se e ngotse.
Bahlaseli ba tšepa liphoso tsena tsa ho ngola ka mokhoa o bitsoang npm typosquatting. Ba kenya liphutheloana tse kotsi tse nang le mabitso a tšoanang le a tsebahalang (mohlala, reaction-domm, e hlahisa maikutlo, maqhubuHaeba senotlolo sa sephutheloana sa hau sa JSON se kenyelletsa phoso e joalo, npm e kenya sephutheloana sa mohlaseli ntle le potso, hobane u se boleletse ka ho hlaka.
Ho ngola ka mongolo wa npm ha se taba feela ya kgopolo feela. Ditlhaselo tsa ho ngola ka mongolo wa npm lefatsheng la sebele di entse dihlooho tsa ditaba. Mohlala o mong o jwalo e ne e le Selekane sa sephutheloana sa Coa, moo khoutu e kotsi e rometsoe ka ntjhafatso ea sephutheloana se tšepahalang. Phapang ke hore ka ho ngola ka npm, moqapi o mema mohlaseli ka phoso ka ho ngola hampe ho itšetleha.
Likotsi tsa 'Nete ho CI/CD PipelineE bakoa ke senotlolo sa sephutheloana Liphoso tsa json
mokhoa oa kajeno oa CI/CD pipelinepheko package-lock.json e le mohloli oa 'nete. Nakong ea kaho kapa ho kenngoa ha eona, pipeline o balehela ho lona npm ci or npm kenya, tseo ka bobeli li baloang ho tsoa faeleng ea senotlolo. Haeba ho na le phoso ea typo, sephutheloana se kotsi se kenella ka bohona. Ha ho litemoso. Ha ho litlhahiso.
Seo se bolela hore phoso e hlahisitsoeng nakong ea nts'etsopele ea lehae e ka ata ka lenyele ho fihlela sethaleng kapa esita le tlhahisong. Bahlaseli ba ka kenya li-credential storage, crypto mining, kapa backdoors tse kenyang tšebetsong kamora ho kenngoa ha data. Tsena tsohle li ka etsahala ntle le ho qala lisebelisoa tsa ts'ireletso, hobane ho itšetleha ho ile ha "boleloa" ho package-lock.json.
Hona ha se phoso feela. Ke tlōlo ea ketane ea phepelo e emetseng ho etsahala, 'me ho ngola ka mongolo oa npm ho etsa hore e be tšokelo ea sebele.
Ho lemoha le ho thibela mefuta ea ho itšetleha ka batho ba bang ho fokotsa ho hloleha ha NPM
Litlhaku tse ngotsoeng ka har'a package-lock.json ha li bonahale ntle le haeba u li batla ka mafolofolo. Mokhoa oa ho qala ke ona:
- Static Analysis: Lisebelisoa tse ling ha li utloisise mathata ana, empa li-scanner tse inehetseng tsa ho itšetleha li ka khona. Kopanya lisebelisoa tse hlahlobang mekhoa ea ho ngola ea npm 'me u hlahlobe ea hau package-lock.json bakeng sa ho se tsitse.
- Lifaele tsa Linotlolo tsa Linting: Sebelisa melao ea ho kenya lint kapa li-plugins tse ikhethileng ho netefatsa package-lock.json dingolwa tse kgahlanong le manane a tsejwang a bolokehileng.
- Litlhahlobo tsa Khoutu: Litlhahlobo tsa lithaka li bohlokoa haholo. Li-diff tsa Lockfile li lerata, empa ruta sehlopha sa hau ho li hlahloba joalo ka khoutu.
- Licheke tse Ikemetseng: Tlhophiso pre-commit hooks kapa mesebetsi ea CI ho hana litlaleho tse sa netefatsoang kapa tse belaetsang ho package-lock.json.
Mona ke mohlala o sebetsang o sebelisang Liketso tsa GitHub:
Sena ha se thibele likulo, empa se supa mabitso a diphutheloana tse makatsang a ka bontshang ho ngola ka npm.
Ho Sireletsa Merero ea Node.js Khahlanong le Litlhaselo tsa Typosquatting le Phepelo ea Ketane ea NPM
Ho notlela sesebelisoa sa hau sa Node.js le ho thibela litlhaselo ka package-lock.json:
- Phetolelo e Tiileng ea ho KhomarelaQoba mefuta ea mefuta (^, ~) ho sejana.jsonNotlela litšekamelo tsohle ho mefuta e nepahetseng ho fokotsa lintlafatso tse sa lebelloang le ho sisinyeha.
- Netefatso ea Saena: Sebelisa lisebelisoa tse kang Sigstore le likarolo tsa tšimoloho ea npm ho netefatsa bonnete le tšimoloho ea liphutheloana.
- Meaho e sa Fetoheng: Sebelisa kamehla npm ci ka netefatso package-lock.json faele libakeng tsa tlhahiso. Le ka mohla u se ke ua itšetleha ka npm kenya nakong ea ho kenngoa tšebetsong, kaha e ka hlahisa liphetoho tse sa hlahlojoang.
- Tlhahlobo e tsoelang Pele: Sebelisa litharollo tsa ho beha leihlo tse u lemosang ha:
- Liphutheloana tse ncha li hlaha ho package-lock.json
- Liphutheloana tse teng li fetoha ka tšohanyetso
- Mekhoa e belaetsang (mohlala, mabitso a liphutheloana joalo ka e hlahisa maikutlo, reaction-domm, maqhubu) lia fumanoa
- Lisebelisoa tsa Tlhahlobo ea Boitšepehi: Kopanya lisebelisoa tse iketsang tse kang tlhahlobo ea npm, Snyk, kapa Xygeni ho CI ea hau pipeline ho hlahloba bofokodi le matšoao a ho ngola ka mongolo o fosahetseng.
- Bohloeki ba Lockfile: Tšoara package-lock.json e le khoutu. E hlahlobe nakong ea pull requests, haholo-holo ha di-dependent di ntjhafatswa kapa di eketswa.
- gana Pre-Commit Checks: Sebelisa pre-commit hooks ho netefatsa faele ea hau ea senotlolo pele e fihlella taolo ea mofuta.
package-lock.json ke sepheo sa boleng bo holimo litlhaselong tsa ho ngola ka npm. Mofuta oa ho ngola o kang oa ho ngola reaction-domm or lodas e fa bahlaseli tsela e tobileng ea ho kena mohahong oa hau pipelineHo ela hloko faele ena ho bohlokoa bakeng sa ho boloka botšepehi ba ketane ea phepelo.
Kahoo, Typo e le 'Ngoe e ka Tebisa Moaho oa Hao. U se ke ua e Lebella!
Mongolo o fosahetseng package-lock.json ha se feela ho ngola khoutu ka mokhoa o bohlasoa; ke vector ea 'nete ea tšokelo bakeng sa ho ngola ka mongolo oa npm. Faele ke molebeli oa heke, 'me haeba e senyehile, ea hau pipeline le yona e jwalo. Tokiso ha e kgahle: fokotsa lebelo, hlahloba faele ya ho notlela, o iketsetsa diteko, mme o lekole diphetoho. Empa e a tshwanela.
Ho ntlafatsa tšireletso ea hau, nahana ka ho sebelisa lisebelisoa tse kang Xygeni, tse etselitsoeng ho lemoha ho hloleha ha mongolo, ho hlahloba senotlolo sa sephutheloana JSON lifaele, le ho sireletsa botšepehi ba sephutheloana ho pholletsa le bophelo ba hau bohle CI/CD pipelineMehleng ena ea mohloli o bulehileng, tšepo e fumanoa ebile e netefalitsoe.
