Василий Ванчук - The Good, the Bad and NPX

Ближайшая конференция - HolyJS 2024 Autumn, 7 ноября (online), 14-15 ноября (Санкт-Петербург + трансляция).
Подробности и билеты: jrg.su/K18Cxd
- -
Скачать презентацию с сайта HolyJS - jrg.su/BBZhHY
Как невинная задача на проекте вылилась в улучшение чужих пакетов на GitHub, и почему это не помогло с проектом. Зато потянуло на мини-исследование, результатам которого Василий не очень-то и рад.
В докладе он все равно решил поделиться результатами с коллегами, ведь «предупрежден - значит вооружен». Спикер добавил к этому немного экспериментов и статистики (чтобы были таблички и графики) и объяснил, чем это угрожает всем вам.

[@AymanAmin-md5ek]

Все понятно и по теме, долго искал годную связку

[@AZ-rt2ly]

не нагружайте скриптами файл package.json - вместо npm run используйте nps - npm-package-scripts

[@floky1342]

а нельзя что нибудь сделать с этой ужасно отвлекающей белой панелькой, где красуются логотипы сбера и вк? Ну хоть bg сделать потемнее

[@MrLuckfinder]

То есть мы потенциально сами себе ставим вирусы

[@stepanmikhailiuk4571]

Мы потенциально ставим себе вирусы с момента появления postinstall scripts, что фактически было всегда

[@bananasba]

настолько отбитый механизм сделать могли только в джс

[@nwsome]

Нет, это присуще примерно всем пакетным менеджерам. Подменить бинарник можно через pip, gem, apt, brew, cygwin или pacman.