针对最近的各种攻击,我一直在用 pnpm 的 minimumReleaseAge=10080 (分钟) 或者 npm 的 min-release-age=7 (天,v11.10+)或者 bun 的 minimumReleaseAge = 604800(秒) 非常推荐,它是目前对抗 npm 供应链攻击非常实用有效的防御手段。
Viking 推荐使用 pnpm、npm 或 bun 的包版本冷却机制来防御 npm 供应链攻击,强制新发布的包必须经过一定时间才能被安装,从而避开攻击窗口。
入选理由:pnpm、npm 和 bun 提供了包版本冷却机制,分别设置为 10080 分钟、7 天和 604800 秒。
