web-security-advanced-web-play…

# npm依赖供应链安全排查指南

一、前置准备：锁定依赖清单

• 运行 npm ls --all 生成完整依赖树（38个直接依赖会展开为数百个间接依赖，投毒常藏在深层依赖中）
• 运行 npm outdated 和 npm ls --json 导出带版本号的清单，重点标记最近90天内发布过新版本的包
• 使用 npm view <package> time 查询每个包的发布时间线，识别“突然大量发版”的可疑模式

二、重点排查最近三个月更新的包

• React系：React本体更新频率低，重点排查周边包（如Babel插件、打包工具、eslint插件）
• lodash：官方包已长期稳定，若版本突然更新需警惕——注意区分 lodash 与仿冒名（如 lodassh、lodash-utils 等typosquatting仿冒包）
• moment.js：项目已进入维护模式（官方宣布停止新功能开发），任何“新版本”发布都需格外警惕，这是典型的投毒伪装信号
• 逐个执行 npm view <包名> repository homepage 核对源码仓库是否指向真实维护方

三、检查postinstall等生命周期脚本

```bash

# 一次性扫描所有包的安装钩子

cat node_modules/*/package.json | grep -A2 '"scripts"'

```

• 高危信号：postinstall、preinstall、prepare 中包含 curl、wget、node -e、base64解码、下载可执行文件、写入系统目录等行为
• 纯JS工具库（lodash、moment等）正常情况下不需要安装脚本，出现即高度可疑
• 对脚本内容逐个人工审读，不要只看命令名

四、使用工具自动化扫描

• npm audit / yarn audit：查已知漏洞
• socket.dev、Snyk、OSV-Scanner：检测行为异常、仿冒包、维护者变更
• npm install --ignore-scripts： CI环境先装依赖不执行脚本，人工审查后再放行

五、锁定与加固（长效机制）

• 提交并严格审核 package-lock.json，开启 npm ci 保证版本一致性
• 配置 .npmrc 启用 audit 与最小权限，考虑私有registry代理+白名单
• 锁定维护者变更：关注包在近期是否有“换维护者、改发布邮箱”的异常
• 新版本发布后延迟1-2周升级，观察社区反馈

六、发现可疑包的应急处理

• 立即下线构建环境，切勿运行受感染依赖
• 回滚lock文件到已验证版本，清理 node_modules 重装
• 检查CI/CD密钥、.npmrc token是否可能已泄露，必要时全部轮换

建议先从moment.js和深层间接依赖入手排查，这是当前供应链攻击最常见的入口。