lockfileの検索結果1 - 2 件 / 2件

• あとで読む

  lockfile-lintを使うとOSSのnpmパッケージでロックファイルにマルウェアを仕込まれるリスクを軽減できる

  • 4 users
  • zenn.dev/catnose99
  • テクノロジー
  • 2022/10/28

  OSSのnpmパッケージにおいて、第三者によるPRでyarn.lockやpackage-lock.jsonなどのロックファイルに変更が加えられている場合、すべての変更を徹底してチェックしなければならない。 なぜなら、パッケージの参照元となるyarnやnpmのレジストリのURLをしれっと改ざんされてしまうリスクがあるため。 例えば以下の画像のようにyarn.lockに定義されたパッケージのresolvedがhttps://registry.yarnpkg.com/...からhttps://malicious.example/...に書き換えられてしまうかもしれない。 lockfile-lint このリスクを軽減するのにlockfile-lintが便利。 例えば👆のコマンドではyarn.lockの中で npmとyarnのレジストリ以外のURLが参照されていないか すべてhttpsのURLにな

  • node.js
  • security

  
• あとで読む

  GitHub - lirantal/lockfile-lint: Lint an npm or yarn lockfile to analyze and detect security issues

  • 4 users
  • github.com/lirantal
  • テクノロジー
  • 2019/10/04

  You signed in with another tab or window. Reload to refresh your session. You signed out in another tab or window. Reload to refresh your session. You switched accounts on another tab or window. Reload to refresh your session. Dismiss alert

  • yarn
  • npm
  • security
  • Tools
  • javascript