依存するパッケージは厳選しよう - methaneのブログ

テクノロジーカテゴリーの変更を依頼記事元:

methane.hatenablog.jp

49 usersがブックマークコメント

依存するパッケージは厳選しよう - methaneのブログ

japan.zdnet.com JS界隈が大騒ぎになった事件だけど、こういった事件自体は完全に防ぐことは不可能だと... japan.zdnet.com JS界隈が大騒ぎになった事件だけど、こういった事件自体は完全に防ぐことは不可能だと思う。今回は依存ライブラリが削除されるだけで済んだけど、 npm install するだけで ~/.ssh ディレクトリを zip にしてどこかに送信するような悪質な攻撃であれば、単にCIが止まるどころでなく、世界中のエンジニアの秘密鍵がばらまかれてあちこちのサーバーにssh可能な事態になったわけで、そんな悪質な攻撃を bugfix なマイクロバージョンアップとして公開される事もありえたわけだ。第三者のパッケージに依存するということは、それだけのリスクを背負い込むということだ。だが、逆に外部のライブラリに依存しないようにすると、生産性が落ちてしまう。なので、コードを読む、信頼できるメンテナの公開しているパッケージを選ぶなどといった方法で、リスクとメリットのバランスを取って

オーナー methane id:dowhile 酷いパッケージに依存しているなら、コードが良くても酷いパッケージです。むしろ、ライブラリを選ぶときにコードより先に依存を確認するぐらいでいいです。

2016/03/24 リンク