تكرار السؤال: …
الإجابة المختصرة
باستخدام npm audit، وتثبيت النسخ الصريحة، وتفعيل --ignore-scripts، وفحص التبعيات بأدوات التحليل الساكن، والاعتماد على قفل الحزم الموثوق.
الشرح
تعد حزم npm هدفاً رئيسياً للمهاجمين عبر التسمم (Typosquatting) أو حقن أكواد خبيثة في سكريبتات التثبيت (postinstall hooks). تشمل إجراءات الحماية تشغيل الفحص الأمني التلقائي في خطوط الـ CI، ومنع تنفيذ السكريبتات العشوائية بواسطة --ignore-scripts، وتفعيل التحقق من تواقيع الحزم (npm provenance).
مثال بالكود
npm audit --audit-level=high
npm ci --ignore-scriptsأخطاء شائعة
- تثبيت حزم غير معروفة ذات عدد تحميلات قليل دون مراجعة كودها المصدري وترخيصها.