开源项目 gin-vue-admin 借用 npm 分发恶意遥测代码

ohmycodeape · 发表于 2026-8-19 22:06:25

@YEX1024 哈哈，get 。先瞄瞄。

nrtEBH · 发表于 2026-8-19 22:10:52

公司 IT 已经禁止使用 npm 公共源了

ohmycodeape · 发表于 2026-8-19 22:12:53

@nrtEBH 最近 npm 出事好像不少。凭证泄露导致供应链新版本恶意投毒那种。

uxff · 发表于 2026-8-19 22:13:30

👍

GeruzoniAnsasu · 发表于 2026-8-19 22:27:17

有 LLM 之后这种脚手架已经完全没有使用的必要了。而且用别人写的代码总归有很多闹心的问题，何况 gva 的开发团队自己水平也就一般，你遇到问题还要给上游修 bug 更心力交瘁

ohmycodeape · 发表于 2026-8-19 22:30:55

@GeruzoniAnsasu 本来觉得用户菜单权限这些基础的东西连开发加测试验证，是不是也比较消耗时间。

sholmesian · 发表于 2026-8-20 00:31:18

刚把项目里的这些组件清理了一遍，感谢🙏

bunai · 发表于 2026-8-20 09:13:40

这招跟想看别人收到邮件后看没看一样
偷偷的给邮件里面放一个 1*1 看不见的图片一样，只要图片正常加载了就是看了
aws 也是这招

他这个目的估计就是为了检测是否授权

ohmycodeape · 发表于 2026-8-20 09:28:06

@bunai 是的，功能就是做一些授权检查之类的，但是方式感觉有待商榷，毕竟故意做了代码混淆，和项目源代码仓库隔离，通过公共 npm 去分发，感觉是不妥的。