התקן את החבילה. הרץ את הסקריפט שלה.

איך זה נעלם מהעין

הסוכן שלך מתקין תלות. ה-manifest של החבילה גם נוקב בשם סקריפט שרץ במהלך ההתקנה. מה שנראה כהגדרה יכול לכלול הרצת קוד הראויה לבדיקה משלה.

פרויקט עשוי להשתמש ב-install hooks לשלבי build רגילים לחלוטין. הוא גם עשוי להכיל פקודה בלתי צפויה. הנקודה החשובה היא שהסקריפט נמצא ב-manifest, שם ניתן להחמיצו אם תבדוק רק את פקודת ההתקנה ברמה העליונה.

מה ClawMetry מזהה

ClawMetry סורק את ה-manifest של חבילת סביבת העבודה ל-install lifecycle hooks נתמכים. הוא מעלה אזהרת הרצת manifest חבילה ומזהה את ה-hook. הסורק קורא את הקובץ; הוא לא מריץ את הפקודה שמוצא.

ההבדל שמשנה את הממצא

לדוגמה הנבדקת יש סקריפט postinstall הנוקב בשם תוכנית build ומייצר אזהרה. שים את אותה תוכנית תחת סקריפט test רגיל, וגלאי זה נשאר שקט. ההבחנה היא מתי ה-manifest אומר שהתוכנית תרוץ.

{
  "kind": "package_manifest_exec",
  "severity": "warning",
  "evidence": {
    "hooks": [
      "postinstall"
    ],
    "hits": [
      {
        "hook": "postinstall",
        "command": "node build.js",
        "tool": null,
        "alarm": null
      }
    ],
    "manifest": "package.json",
    "tools": [],
    "observed": "package_manifest"
  }
}

מה לבדוק בהמשך

קרא את פקודת ה-hook ואת התוכנית אליה היא מפנה. בדוק האם התנהגות ההתקנה הזו שייכת לפרויקט והאם מקור התלות מהימן. אם ההתקנה כבר התרחשה, בדוק את ההשפעות בפועל בנפרד לפני קבלת הסביבה.

1. קרא את ה-lifecycle hook
2. בדוק את התוכנית המוזכרת
3. בדוק התנהגות התקנה צפויה