Sicherheit von Webanwendungen · Senior · Frage 50 von 75
Warum sind npm-Skripte postinstall ein Risiko für die Lieferkette?
- 1Sie führen beliebigen Code aus, sobald ein Paket installiert wird
- 2Sie machen den Ordner
node_modulesspürbar größer - 3Sie laufen nur auf Windows-Maschinen, wo es keine Sandbox gibt
Antwort zeigen
Richtige Antwort: Sie führen beliebigen Code aus, sobald ein Paket installiert wird
Erklärung
Viele echte Angriffe stehlen Tokens über Installationsskripte. --ignore-scripts mit einer Allowlist für Pakete, die sie wirklich brauchen, senkt das Risiko.