新的前端 npm 包投毒事件

• 请不要在回答技术问题时复制粘贴 AI 生成的内容

This topic created in 1397 days ago, the information mentioned may be changed or developed.

起因：vue 官方转发推文（ https://twitter.com/ewind1994/status/1610868861976604673 ），一个名为 chalk-next 复刻 chalk 的包文件中包含递归删除本地配置代码。

NPM 地址： https://www.npmjs.com/package/chalk-next

NPM 帐号： https://www.npmjs.com/~vabjs

作者：chu1204505056 ，为 vue-admin-beautiful 前端 Admin 项目的作者

Github： https://github.com/chuzhixin

查到 V2EX 相关贴：《实名抵制 vue-admin-beautiful 》（ https://www.v2ex.com/t/793276?p=1 ）

Supplement 1 · Jan 5, 2023

更新：作者在本站，现已将 npm 上 published 记录删除

Supplement 2 · Jan 6, 2023

引用 #84 的总结

“基本上捋清楚了，这个作者自己建的一些诸如"chalk-next"的库是用来检测授权的，作者在自己的收费项目里引用这个包，引用后会上报密钥信息，如果是没花钱就使用的话会被这个包检测出来然后报复姓删除文件。简单来说就是个报复后门。
结果由于起名太过敏感，"-next"一般用于大版本更新，于是有好心人（个人认为提 PR 的可能只是路人，跟作者无关）出于更新包的目的在其他开源项目中提 PR 更新包，也就出现了这次的“投毒”事件。
总之这个作者这个做法实在是太 LOW 了，挺恶心。”

222 replies • 2023-12-01 11:29:36 +08:00

1 2 3

❮

❯

agdhole

Jan 7, 2023

201

去年就看到了这个作者，毫无底线，请水军到处刷屏，把开源社区玩成了 pdd 砍一刀，做出这样的事情意料之中

netabare

Jan 7, 2023 via Android

202

@Mexion 同好奇+1 ，后台管理这种东西应该不需要多复杂的逻辑吧，如果说涉及到鉴权、权限管理和接入 api 的事情，一来这个库完全没提到所以应该是没有，二来我觉得敢用这个库做敏感数据处理的人心是真的大。。。

hhjj3388

Jan 7, 2023

203

所以这个 pro 版的源码大家有吗，能给下链接吗！！

justin2018

Jan 7, 2023

204

这个 vue-admin-beautiful 有啥过人之处？

vue-vben-admin 挺好的呀为啥要花钱买 ❓

yi0322

Jan 7, 2023

205

这不是饭圈来的？我不太信

magicdawn

Jan 8, 2023

206

https://www.zhihu.com/people/chu-zhi-xin

suyuyu

Jan 8, 2023 via Android

207

这人尽然是女的？

jinliming2

Jan 8, 2023 via iPhone

208

@lambdaq 设置个 VUE_APP_SECRET_KEY 环境变量为随便一个字符串试试呢？（这个环境变量名称太一般了，非常容易踩雷）

或者设置个 NODE_ENV 环境变量为 development ，然后建个 src/vab 空目录，再试试呢

上面这两种情况，都会开始删你的 .git 之类的目录

另外，报这个错的时候，.vscode 目录的配置已经删除成功了