Безопасность зависимостей npm

Атаки на цепочку поставок в npm происходят регулярно: захват аккаунта мейнтейнера и вредоносный патч-релиз, пакеты с похожими именами, код в postinstall, который крадёт токены из окружения CI. Защищаюсь слоями. Lock-файл в репозитории и npm ci, чтобы ставилось ровно проверенное дерево. Обновления через Renovate или Dependabot с ревью, причём свежие версии беру с задержкой в несколько дней: большинство вредоносных релизов успевают найти и снять. npm audit в CI. Скрипты установки по возможности отключаю, пакеты с postinstall проверяю особо. Перед добавлением зависимости смотрю на популярность, мейнтейнеров, точность названия, и вообще стараюсь не тянуть пакет ради одной функции. Проверяю происхождение через npm provenance, в компании ставлю прокси-реестр. И ограничиваю ущерб: в CI-шаге установки нет секретов деплоя, контейнер не от root, исходящая сеть по белому списку.