为什么Package-Lock.JSON对开发人员很重要
在 Node.js 项目中，package-lock.json 不仅仅是 package.json 的配套文件。它锁定每个已安装依赖项（包括嵌套依赖项）的确切版本。此文件确保跨环境的可重复性，并防止新软件包版本发布时出现意外更改。如果没有它，开发人员在开发、测试和生产阶段可能会因为依赖项树的变化而导致行为出现差异，甚至如果 lockfile 中存在错误，还可能为 npm 域名抢注打开方便之门。
如果使用得当，package-lock.json 可以确保您团队中的每个人和您的 CI/CD pipeline 安装 相同的代码。但是，此文件中的一个无声拼写错误可能会使您的应用程序直接陷入陷阱。
拼写错误如何导致 NPM 域名抢注攻击？
假设一个合法的包裹 的package.json 拼写正确，例如 Lodash。但输入错误 包lock.json，如 污泥，仍然可以潜入您的依赖树中，特别是如果有人手动编辑它或有缺陷的工具编写了它。
攻击者利用这些拼写错误，使用一种名为 npm 域名抢注的技术。他们会上传与常见软件包名称相似的恶意软件包（例如， react-domm, 表达, 角)。如果您的包锁定 JSON 包含这样的拼写错误，npm 会毫无疑问地安装攻击者的包，因为您明确告诉它这样做。
npm 域名抢注并非只是理论上的。现实世界中的 npm 域名抢注攻击已经成为头条新闻。其中一个例子是 Coa 软件包泄露，在 Moku:Pro 上 恶意代码 是通过受信任软件包的更新发布的。区别在于，npm 域名抢注是指开发人员错误地输入依赖项，从而意外地引来了攻击者。
真正的风险 CI/CD Pipelines 导致的包锁 json 错误
现代 CI/CD pipeline款待 包lock.json 作为事实来源。在构建或部署期间， pipeline 运行 国家管理委员会 or npm安装，两者都从锁文件中读取。如果出现拼写错误，恶意包就会被自动拉入。没有警报，也没有提示。
这意味着，在本地开发过程中引入的拼写错误可能会悄无声息地传播到预发布环境甚至生产环境中。攻击者可以嵌入凭证窃取程序、挖矿程序或部署后激活的后门。所有这些都可以在不触发安全工具的情况下发生，因为依赖项是在 包lock.json.
这不仅仅是一个错误。这是一个即将发生的供应链漏洞，而 npm 域名抢注使其成为一个真正的威胁。
检测并防止依赖关系拼写错误以减轻 NPM 域名抢注
拼写错误 包lock.json 除非你主动寻找，否则它们是看不见的。以下是如何开始：
- 静态分析：有些工具无法发现这些问题，但专用的依赖项扫描器可以。集成扫描 npm 域名抢注模式的工具，并检查你的 包lock.json 不一致之处。
- 锁文件检查：使用自定义 linting 规则或插件来验证 包lock.json 针对已知安全列表的条目。
- 代码审查：同行评审至关重要。锁文件差异可能很复杂，但要教会你的团队像审查代码一样审查它们。
- 自动检查： 设置 pre-commit hooks 或 CI 作业拒绝未经验证或可疑的条目 包lock.json.
以下是使用 GitHub Actions 的实际示例：
这并不是万无一失的，但它标记了可能表示 npm 域名抢注的奇怪包名称。
保护 Node.js 项目免受 NPM 域名抢注和供应链攻击
锁定您的 Node.js 应用程序并防止通过 包lock.json:
- 严格版本固定：避免版本范围（^, ~）摄影作品通过 的package.json. 将所有依赖项锁定到精确版本，以减少意外更新和漂移。
- 签名验证：利用 Sigstore 和 npm 的出处功能等工具来验证包的真实性和来源。
- 不可变构建：始终使用 国家管理委员会 经过验证 包lock.json 在生产环境中使用文件。永远不要依赖 npm安装 在部署期间，因为它可能会引入未经审查的变化。
- 持续监控：使用监控解决方案，在以下情况下向您发出警报：
- 新的软件包出现在您的 包lock.json
- 现有软件包发生意外变化
- 可疑模式（例如，包名称 表达, react-domm, 角）被检测到
- 依赖关系审计工具：集成自动化工具，例如 npm审计, 斯尼克 或 西吉尼 进入你的CI pipeline 扫描漏洞和域名抢注指标。
- 锁文件卫生： 对待 包lock.json 作为代码。在审查期间 pull requests，尤其是在更新或添加依赖项时。
- 自动化 Pre-Commit 支票： 使用 pre-commit hooks 在锁文件到达版本控制之前对其进行验证。
包lock.json 是 npm 域名抢注攻击的高价值目标。类似这样的拼写错误 react-domm or 污泥 为攻击者提供直接进入你的构建的途径 pipeline. 对此文件的警惕对于维护供应链的完整性至关重要。
所以，一个拼写错误就可能毁掉你的构建。别让它发生！
拼写错误 包lock.json 不仅仅是代码混乱；它是 npm 域名抢注的真正威胁载体。该文件就像一个守门人，如果它被攻破，你的 pipeline 也是。修复方法并不好：放慢速度，检查锁文件，自动检查，监控变化。但这一切都是值得的。
为了提高防御能力，可以考虑使用 Xygeni 等工具，这些工具旨在检测域名抢注、检查 包锁定 JSON 文件，并在整个过程中保护包裹的完整性 CI/CD pipeline。在开源时代，信任是需要赢得和验证的。
