ติดตั้งแพ็คเกจ รันสคริปต์ของมัน

เหตุใดจึงมองข้ามได้ง่าย

agent ของคุณติดตั้ง dependency package manifest ยังระบุสคริปต์ที่รันระหว่างการติดตั้ง สิ่งที่ดูเหมือนการตั้งค่าอาจรวมถึงการรันโค้ดที่ควรได้รับการตรวจสอบเป็นพิเศษ

โปรเจกต์อาจใช้ install hooks สำหรับขั้นตอน build ทั่วไป และอาจมีคำสั่งที่ไม่คาดหวัง สิ่งสำคัญคือสคริปต์อยู่ใน manifest ซึ่งอาจถูกมองข้ามหากคุณตรวจสอบเพียงคำสั่งติดตั้งระดับบนสุด

สิ่งที่ ClawMetry ตรวจจับ

ClawMetry สแกน package manifest ของ workspace เพื่อหา install lifecycle hooks ที่รองรับ โดยแสดงคำเตือนการรันโค้ดจาก package manifest และระบุ hook ตัวสแกนอ่านไฟล์ ไม่ได้รันคำสั่งที่พบ

ความแตกต่างที่เปลี่ยนผลการตรวจสอบ

ตัวอย่างที่ตรวจสอบมีสคริปต์ postinstall ที่ระบุชื่อโปรแกรม build และสร้างคำเตือน วางโปรแกรมเดียวกันไว้ใต้สคริปต์ test ทั่วไป ตัวตรวจจับนี้จะไม่แจ้งเตือน ความแตกต่างอยู่ที่เมื่อ manifest ระบุว่าโปรแกรมจะรัน

{
  "kind": "package_manifest_exec",
  "severity": "warning",
  "evidence": {
    "hooks": [
      "postinstall"
    ],
    "hits": [
      {
        "hook": "postinstall",
        "command": "node build.js",
        "tool": null,
        "alarm": null
      }
    ],
    "manifest": "package.json",
    "tools": [],
    "observed": "package_manifest"
  }
}

สิ่งที่ควรตรวจสอบต่อไป

อ่านคำสั่ง hook และโปรแกรมที่อ้างอิง ตรวจสอบว่าพฤติกรรมการติดตั้งนั้นเหมาะสมกับโปรเจกต์และแหล่งที่มาของ dependency น่าเชื่อถือหรือไม่ หากการติดตั้งเกิดขึ้นแล้ว ให้ตรวจสอบผลกระทบจริงแยกต่างหากก่อนยอมรับสภาพแวดล้อม

1. อ่าน lifecycle hook
2. ตรวจสอบโปรแกรมที่อ้างอิง
3. ตรวจสอบพฤติกรรมการติดตั้งที่คาดหวัง