掘金· Flynt·· 3 小时前精选AI 评分38
作者在沙盒实测 npm 安全防线：SHA512 校验拦不住 axios 投毒
axios 被投毒半年后，我把 npm 的"安全防线"实测了一遍：最信任的 SHA512 是安慰剂
AI 导读
作者在 1 核 2G 沙盒里复现了 3 月 31 日 axios 投毒事件（1.14.1 与 0.30.4 两个版本携带 plain-crypto-js@4.2.1 的 postinstall 脚本），并逐项测试 npm 的安全机制。
推荐理由
作者在沙盒实测 npm 四道防线，说明 SHA512 与 audit 为何拦不住投毒，并给出十分钟可做的替代动作。
来源：掘金 · juejin.cn