ఇది ఎలా చూసీ చూడకుండా పోతుంది
మీ ఏజెంట్ డిపెండెన్సీ ఇన్స్టాల్ చేస్తుంది. ప్యాకేజీ మ్యానిఫెస్ట్ ఇన్స్టాలేషన్ సమయంలో రన్ అయ్యే స్క్రిప్ట్ను కూడా పేర్కొంటుంది. సెటప్లా కనిపించేది వేరే సమీక్ష అవసరమయ్యే కోడ్ ఎగ్జిక్యూషన్ను కలిగి ఉండవచ్చు.
ప్రాజెక్ట్ సాధారణ బిల్డ్ స్టెప్ల కోసం ఇన్స్టాల్ హుక్లను ఉపయోగించవచ్చు. అనుమానాస్పద కమాండ్ కూడా ఉండవచ్చు. ముఖ్యమైన విషయం ఏమిటంటే, స్క్రిప్ట్ మ్యానిఫెస్ట్లో ఉంటుంది, మీరు టాప్ లెవల్ ఇన్స్టాల్ కమాండ్ మాత్రమే చూస్తే అది దాటిపోవచ్చు.
ClawMetry ఏమి గుర్తిస్తుంది
ClawMetry వర్క్స్పేస్ ప్యాకేజీ మ్యానిఫెస్ట్లో మద్దతు ఉన్న ఇన్స్టాల్ లైఫ్సైకిల్ హుక్లను స్కాన్ చేస్తుంది. ప్యాకేజీ మ్యానిఫెస్ట్ ఎగ్జిక్యూషన్ వార్నింగ్ లేవనెత్తి హుక్ను గుర్తిస్తుంది. స్కానర్ ఫైల్ చదువుతుంది; కనుగొన్న కమాండ్ను ఎగ్జిక్యూట్ చేయదు.
ఫలితాన్ని మార్చే తేడా
ట్రిగ్గర్ ఉదాహరణ
postinstall: node build.js
వార్నింగ్ ఫైండింగ్
నిశ్శబ్ద పోలిక
test: node build.js
ఈ డిటెక్టర్కు ఫలితం లేదు.
తనిఖీ చేసిన ఉదాహరణలో బిల్డ్ ప్రోగ్రామ్ను పేర్కొన్న postinstall స్క్రిప్ట్ వార్నింగ్ ఇస్తుంది. అదే ప్రోగ్రామ్ను సాధారణ టెస్ట్ స్క్రిప్ట్ కింద పెడితే, ఈ డిటెక్టర్ నిశ్శబ్దంగా ఉంటుంది. తేడా ఏమిటంటే మ్యానిఫెస్ట్ ఆ ప్రోగ్రామ్ ఎప్పుడు రన్ అవుతుందని చెప్తుంది.
డిటెక్టర్ ఫలితాన్ని పరిశీలించండి
{
"kind": "package_manifest_exec",
"severity": "warning",
"evidence": {
"hooks": [
"postinstall"
],
"hits": [
{
"hook": "postinstall",
"command": "node build.js",
"tool": null,
"alarm": null
}
],
"manifest": "package.json",
"tools": [],
"observed": "package_manifest"
}
}ఉదాహరణ ఎలా తనిఖీ చేయబడింది
ఈ ఉదాహరణలు రచయిత ఈవెంట్ డేటా లేదా డిస్పోజబుల్ కాన్ఫిగరేషన్ ఫైల్లతో ప్రచురించిన డిటెక్టర్ను అంచనా వేస్తాయి. వీడియోలు ఆ ప్రవర్తనలను వివరిస్తాయి. ఇవి లైవ్ ఏజెంట్లు లేదా ప్రొడక్ట్ ఇంటర్ఫేస్ రికార్డింగ్లు కాదు. ఉదాహరణలలో ఏ కమాండ్ అమలు చేయబడలేదు.
ఫలితం ఈ ఇన్పుట్ల కోసం ప్రవర్తనను నిర్ధారిస్తుంది. ఇది రన్టైమ్ ఇంజెక్షన్, నివారణ లేదా నిజమైన రాజీని నిర్ధారించదు. పిన్ చేసిన సోర్స్ కాంట్రాక్ట్ను పరిశీలించండి.
తదుపరి ఏమి తనిఖీ చేయాలి
హుక్ కమాండ్ను మరియు అది రిఫరెన్స్ చేసే ప్రోగ్రామ్ను చదవండి. ఆ ఇన్స్టాల్ ప్రవర్తన ప్రాజెక్ట్కు చెందినదో, డిపెండెన్సీ సోర్స్ నమ్మదగినదో తనిఖీ చేయండి. ఇన్స్టాలేషన్ జరిగిపోయినట్లయితే, పరిసరాన్ని అంగీకరించే ముందు వాస్తవ ప్రభావాలను వేరుగా సమీక్షించండి.
- లైఫ్సైకిల్ హుక్ చదవండి
- రిఫరెన్స్ చేసిన ప్రోగ్రామ్ను తనిఖీ చేయండి
- అపేక్షిత ఇన్స్టాల్ ప్రవర్తనను సమీక్షించండి
ఈ సిగ్నల్ ఏమి నిర్ధారిస్తుంది
ఇన్స్టాల్ హుక్ స్వయంచాలకంగా హానికరం కాదు. ఈ ఫైండింగ్ మ్యానిఫెస్ట్ ఎంట్రీని నివేదిస్తుంది, ఇన్స్టాలేషన్ లేదా ఎగ్జిక్యూషన్ జరిగిందని నిరూపించదు.