एउटा NPM प्याकेज सिर्जना गर्न प्रयोग गर्नुहोस् जुन भण्डारमा सबै प्याकेजहरूमा निर्भर छ

JavaScript प्याकेजहरूको विकासकर्ताहरू मध्ये एकले NPM भण्डारमा "सबै कुरा" प्याकेज सिर्जना गर्ने र राख्ने प्रयोग गर्‍यो, जसले भण्डारमा रहेका सबै प्याकेजहरूलाई निर्भरतासहित समेट्छ। यो सुविधा लागू गर्नको लागि, "सबै कुरा" प्याकेजमा पाँच "@everything-registry/chunk-N" प्याकेजहरूसँग प्रत्यक्ष निर्भरताहरू छन्, जसमा 3000 भन्दा बढी "sub-chunk-N" प्याकेजहरूमा निर्भरताहरू छन्, जसमध्ये प्रत्येकसँग बाँधिएको छ। भण्डारमा 800 अवस्थित प्याकेजहरू।

NPM मा "सबै कुरा" राख्दा दुईवटा रोचक प्रभावहरू थिए। पहिलो, "सबै कुरा" प्याकेज DoS आक्रमणहरू प्रदर्शन गर्नको लागि एक प्रकारको उपकरण भएको छ, किनकि यसलाई स्थापना गर्ने प्रयासले NPM मा होस्ट गरिएका लाखौं प्याकेजहरू डाउनलोड गर्न र उपलब्ध डिस्क स्पेसलाई समाप्त गर्न वा निर्माण प्रक्रियाहरूको कार्यान्वयन रोक्न नेतृत्व गर्दछ। NPM तथ्याङ्क अनुसार, प्याकेज करिब 250 पटक डाउनलोड गरिएको थियो, तर विकासकर्ताको खाता तोडफोड गर्न ह्याक भएपछि यसलाई अर्को प्याकेजमा निर्भरताको रूपमा थप्न कसैले चिन्ता गरेन। थप रूपमा, NPM द्वारा होस्ट गरिएका नयाँ प्याकेजहरू अनुगमन र जाँच गर्ने केही सेवाहरू र उपकरणहरू अनजानमा आक्रमणमा परेका थिए।

दोस्रो, "सबै कुरा" प्याकेज प्रकाशित गर्दा NPM मा कुनै पनि प्याकेजहरू हटाउने क्षमतालाई प्रभावकारी रूपमा अवरुद्ध गरियो जुन यसको निर्भरताहरूको सूचीमा समाप्त भयो। NPM बाट प्याकेज लेखकद्वारा मात्र हटाउन सकिन्छ यदि यो पहिले नै अन्य प्याकेजहरूको निर्भरताहरूमा प्रयोग गरिएको छैन, तर "सबै कुरा" को प्रकाशन पछि निर्भरताहरू भण्डारमा सबै प्याकेजहरू कभर गर्न निस्क्यो। यो उल्लेखनीय छ कि "सबै कुरा" प्याकेजलाई हटाउने कार्य पनि अवरुद्ध गरिएको थियो, किनकि 9 वर्ष पहिले भण्डारमा परीक्षण प्याकेज "सबै कुरा" पोस्ट गरिएको थियो, जसमा निर्भरताहरूको सूचीमा "सबै कुरा" स्ट्रिङ समावेश थियो। यसरी, प्रकाशन पछि, "सबै कुरा" प्याकेज अर्को प्याकेजमा निर्भर रह्यो।

स्रोत: opennet.ru