{"id":112714,"date":"2024-01-05T15:10:15","date_gmt":"2024-01-05T13:10:15","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/eksperiment-s-sozdaniem-npm-paketa-zavisimogo-ot-vseh-paketov-v-repozitorii"},"modified":"2024-01-05T15:10:15","modified_gmt":"2024-01-05T13:10:15","slug":"eksperiment-s-sozdaniem-npm-paketa-zavisimogo-ot-vseh-paketov-v-repozitorii","status":"publish","type":"post","link":"https:\/\/prohoster.info\/it\/blog\/novosti-interneta\/eksperiment-s-sozdaniem-npm-paketa-zavisimogo-ot-vseh-paketov-v-repozitorii","title":{"rendered":"Esperimento per creare un pacchetto NPM dipendente da tutti i pacchetti nel repository","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
Uno dei sviluppatori di pacchetti JavaScript ha condotto un esperimento creando e pubblicando nel repository NPM il pacchetto «everything», che copre come dipendenze tutti i pacchetti esistenti nel repository. Per implementare questa funzionalit\u00e0, il pacchetto «everything» \u00e8 legato come dipendenze dirette a cinque pacchetti «@everything-registry\/chunk-N», i quali a loro volta collegano come dipendenze oltre 3000 pacchetti «sub-chunk-N», ognuno dei quali \u00e8 legato a 800 pacchetti esistenti nel repository. <\/p>\n
La pubblicazione di «everything» su NPM ha portato a due effetti interessanti. In primo luogo, il pacchetto «everything» \u00e8 diventato una sorta di strumento per attacchi DoS, poich\u00e9 il tentativo di installarlo comporta il download di milioni di pacchetti ospitati su NPM, esaurendo lo spazio su disco disponibile o interrompendo i processi di build. Secondo le statistiche, il pacchetto NPM \u00e8 stato scaricato circa 250 volte, ma nulla impedisce di aggiungerlo come dipendenza a un altro pacchetto dopo aver compromesso l'account dello sviluppatore per compiere sabotaggi. Inoltre, involontariamente, alcuni servizi e strumenti che monitorano e controllano i nuovi pacchetti pubblicati su NPM sono stati colpiti. <\/p>\n
In secondo luogo, la pubblicazione del pacchetto «everything» ha effettivamente bloccato la possibilit\u00e0 di rimuovere qualsiasi pacchetto su NPM che si trovasse nell'elenco delle sue dipendenze. Un pacchetto su NPM pu\u00f2 essere rimosso dall'autore solo se non \u00e8 gi\u00e0 utilizzato come dipendenza da altri pacchetti, ma dopo la pubblicazione di «everything», tutte le dipendenze sono state coperte da tutti i pacchetti nel repository. \u00c8 interessante notare che la rimozione dello stesso pacchetto «everything» \u00e8 stata bloccata, poich\u00e9 nove anni fa \u00e8 stato pubblicato nel repository un pacchetto di test «everything-else», che includeva la stringa «everything» nell'elenco delle dipendenze. Pertanto, dopo la pubblicazione, il pacchetto «everything» \u00e8 finito come dipendenza di un altro pacchetto. \n Fonte: opennet.ru<\/a> <\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"