npm传递依赖引发供应链安全风险

发生了什么

据TuxCare分析，npm包的传递依赖树规模远超package.json声明范围。单个npm包可能引入数百个传递依赖，且每个依赖均具备代码执行权限。由于深层依赖的版本范围由第三方维护者设定，安全修复或攻击代码可能在未经直接控制的情况下进入项目，导致供应链控制难题。