TanStack NPM 投毒覆盤：你的 lockfile 擋得住嗎

知名開源組織 TanStack 遭遇 NPM 供應鏈投毒，官方隨後發了完整覆盤，在 HN 上拿下一千多贊。攻擊不新鮮，新鮮的是人家把整個過程攤開講。這篇把覆盤裏對普通團隊有用的部分講清楚。

先說結論：供應鏈攻擊防的不是“會不會來”，而是“來了多久能發現、多久能止血”。TanStack 這次贏在發現快、通報快、止損快。普通團隊學不來人家的影響力，但學得來這三快的動作。

覆盤裏最值得抄的是發佈時間線。從發現異常版本，到確認投毒範圍，到下架受影響版本、發安全版本，每一步都記了時間。對照自己想一想：如果今晚你依賴的包出了事，你的團隊多久能定位到是哪個版本？答不上來，就說明缺一本應急手冊。

普通團隊今天就能落地的有四條。第一，鎖死版本，lockfile 進倉庫，CI 嚴格按鎖文件裝，別讓浮動版本半夜給你驚喜。第二，開雙人複覈，發佈權限收緊，關鍵包的發版至少兩人確認。第三，配來源簽名校驗，裝包時驗 provenance，對不上就攔。第四，訂閱安全公告，你用的核心依賴出了事，要第一時間知道，而不是等用戶報毒。

中國讀者多一條：內網鏡像和私有源也要跟上官方的安全版本，別出現“官方已修復、內網還在裝毒”的烏龍。定期對一次賬，看看鏡像裏的版本和官方差幾代。

行動建議：這周抽半小時，給你們項目做一次依賴體檢，看看有多少浮動版本、發佈權限在幾個人手裏。體檢單越短，睡得越香。你們上次審 lockfile 是什麼時候？

多說一句：如果你們連應急手冊都沒有，現在就建一個，一頁紙就行，寫清誰負責下線版本、誰負責發公告、用戶在哪看通知。演練一次只需要半小時，真出事時能省半條命。安全投入裏，這是性價比最高的一筆。 來源｜Hacker News 熱議 / TanStack 官方覆盤，https://tanstack.com/blog/npm-supply-chain-compromise-postmortem