作者沙盒实测：npm SHA512 校验未拦住 axios 投毒

一名作者在 1 核 2G 沙盒中复现了 3 月 31 日的 axios 投毒事件，并逐项测试 npm 的安全机制，结论与直觉相反：SHA512 校验拦不住这次投毒。 投毒版本为 axios 1.14.1 与 0.30.4，携带 plain-crypto-js@4.2.1 的 postinstall 脚本，恶意窗口为 UTC 00:21 至 03:29。作者称，国内镜像源的 audit 接口根本没有实现；全项目 23 个依赖中，只有 axios 自身带有 provenance。 作者还称，依赖仍留在依赖树中、文件仍在磁盘上，只是不运行。

AI 根据报道生成 · 2 小时前更新

还没有足够的连续观测数据，暂不绘制趋势。