Выбор ответа Middle Зависимости и supply chain обновлено
Скрипты установки
Вопрос
Чем опасны скрипты postinstall в npm-пакетах?
Попробуйте сами
Выберите вариант, и откроется разбор.
Показать ответ и разбор
Коротко
Правильный ответ: Выполняются при установке с правами пользователя или CI и могут украсть токены. Многие вредоносные пакеты действуют именно в момент установки: читают переменные окружения, .npmrc, ключи SSH и отправляют атакующему.
Варианты ответа
- Они в основном замедляют установку и ломают сборку, если в CI нет доступа к сети
- Выполняются при установке с правами пользователя или CI и могут украсть токеныправильный ответ
- Они выполняются лишь в продакшене при первом запуске приложения
- npm запускает их в песочнице без сети, но они могут портить node_modules
Разбор
Многие вредоносные пакеты действуют именно в момент установки: читают переменные окружения, .npmrc, ключи SSH и отправляют атакующему. Песочницы у npm нет. Защита: --ignore-scripts там, где можно, сборка без лишних секретов, проверка новых зависимостей.
Ответьте сами, а не прочитайте
В тренажёре вопрос попадёт в повторения и вернётся, когда начнёт забываться. Плюс билеты с зачётом: 20 вопросов, не больше 2 ошибок.