Trail of Bits测试了25个流行包管理器，发现不到一半默认使用带有篡改检测的锁文件，仅有两个会验证每个下载包的完整性。报告警告称，随着针对开发者的供应链攻击越来越难，攻击者将把重点转向被篡改的包仓库。许多实现因设计选择、资源限制或加密复杂性而存在缺陷。
背景
软件依赖生态系统的供应链攻击显著增长，SolarWinds和npm包入侵等著名事件凸显了包管理工具中更强完整性保障的必要性。
- 来源
- Lobsters
- 发布时间
- 2026年10月15日 00:14
- 评分
- 8.0 / 10
Trail of Bits测试了25个流行包管理器，发现不到一半默认使用带有篡改检测的锁文件，仅有两个会验证每个下载包的完整性。报告警告称，随着针对开发者的供应链攻击越来越难，攻击者将把重点转向被篡改的包仓库。许多实现因设计选择、资源限制或加密复杂性而存在缺陷。
软件依赖生态系统的供应链攻击显著增长，SolarWinds和npm包入侵等著名事件凸显了包管理工具中更强完整性保障的必要性。