Làm thế nào để kiểm tra và ngăn chặn các gói độc hại (malicious packages) trước khi cài đặt vào dự án?

Question

Accepted Answer

Để bảo mật chuỗi cung ứng, lập trình viên cần thực hiện các bước sau: 1. Sử dụng lệnh npm audit để quét các lỗ hổng bảo mật đã biết trong cây phụ thuộc. 2. Kiểm tra kỹ tên gói (typosquatting) để tránh cài nhầm các gói có tên gần giống với thư viện nổi tiếng. 3. Sử dụng các công cụ như Snyk hoặc Socket.dev để phân tích hành vi của gói (ví dụ: gói có cố gắng truy cập network hoặc filesystem trái phép không). 4. Hạn chế sử dụng các gói có ít lượt tải hoặc không được cập nhật trong thời gian dài. 5. Luôn ưu tiên sử dụng tệp lockfile để đảm bảo mã nguồn đã được kiểm duyệt không bị thay đổi bởi các bản cập nhật tự động từ registry.

Làm thế nào để kiểm tra và ngăn chặn các gói độc hại (malicious packages) trước khi cài đặt vào dự án?

Làm Chủ Phỏng Vấn & Nâng Cao Trình Độ Chuyên Nghiệp

Tải Tuyển Tập 100+ Câu Hỏi Phỏng Vấn Chuyên Sâu (PDF)

Cần Mentor Phỏng Vấn Thử 1-1 & Tối Ưu CV?

Kiểm Tra CV Chuẩn ATS Miễn Phí

Câu hỏi package managerment liên quan cùng chủ đề