افحص اسم الحزمة قبل أن ينفذ تثبيتها كودًا
طابق الاسم الكامل بتعليمات المشروع وافحص بياناته وسكربتات التثبيت، بدل تثبيت حزمة مشبوهة لمجرد استكشافها.
الخلاصة
يستغل typosquatting اسمًا مكتوبًا خطأ أو شبيهًا مقنعًا. قد ينفذ التثبيت سكربتات، لذلك افحص البيانات أولًا بدل تجربة التثبيت على جهازك.
الاسم الكامل بما فيه النطاق والشرطات أهم من وصف مألوف.
طابق الهوية كاملة
افحص النطاق والتهجئة والشرطات مع أمر المشروع الرسمي. ترتيب البحث أو الإعلان ليس مصدرًا لأمر التثبيت. قارن المستودع والمشرفين، مع تذكر أن البيانات الوصفية نفسها قد تضلل.
افحص قبل التنفيذ
يعرض npm view مع الاسم الصحيح بيانات دون تثبيت كود الحزمة. راجع الاعتماديات والسكربتات المعلنة والمحتويات بمسار فحص آمن. لا تختبر حزمة مجهولة على جهاز يحفظ أسرار الإنتاج.
اجعل التغيير قابلًا للمراجعة
افحص الحزم الجديدة ومصدرها في القفل، لا الاسم الأعلى فقط. توقف عند سكربت أو حزمة غير متوقعة واعرف السبب. وثّق الحاجة؛ تجنب حزمة لا تلزمك يلغي قرار ثقة إضافيًا.
قبل أن تتخذ أي خطوة
الشهرة وملف القفل ونجاح فحص الثغرات لا تثبت هوية الناشر المقصود. وقد تتغير ملكية أو وظيفة حزمة شرعية لاحقًا.
ما الذي يمكنك فعله الآن؟
- خذ الاسم من وثائق المشروع الرسمية.
- افحص السجل والمستودع والسكربتات دون تثبيت.
- راجع تغيير ملف القفل ثم استخدم بيئة تطوير معزولة مناسبة.
