NPM（节点程序包管理器）安全性和投票

Question

任何人都可以发布其Node.js包以打开“节点包管理器”（ npm ）池。 是否对发布的软件包进行了安全检查，以确保新软件包不会包含任何有害代码？

有趣的是，是否有针对节点软件包的投票系统，以便我可以从一堆类似的节点软件包中选出投票率最高的软件包？

Answer 1

Node Security Platform是旨在帮助开发人员做到这一点的工具！ 您可以通过多种方式测试项目依赖项是否存在已知漏洞-从命令行，与CI系统集成或与github集成。

该漏洞是通过两个来源发现的：

1. 一支经验丰富的node.js安全专家团队正在npm上积极审核模块。
2. 来自社区成员的意见，由上述团队进行了验证。

使用命令行工具以及与开源github存储库集成也是免费的。

如果您使用的是npm enterprise，nsp还将与npm合作提供侧边栏集成 。 这使您可以直接从npme Web ui查看漏洞信息，这听起来像您正在寻找的内容。

就模块受欢迎程度而言，在nodejsmodules.org上有一个网站在某种程度上可以做到这一点。 我会不时使用它，但是请注意-他们有一个非常过期的HTTPS证书。

披露：我是Node Security Platform背后公司^ Lift Security的一名员工。

Answer 2

您还可以使用https://nodesecurity.io/将安全性检查添加到GitHub拉取请求流中。

如果您在将模块拉入系统之前在npmjs.com上进行搜索，则npmjs.com上所有软件包的索引都将维护，质量等方面考虑在内。”

npm搜索对于npm软件包投票也是一个不错的选择。

npms分析器持续分析npm生态系统，从包括GitHub， David和nsp在内的各种来源收集尽可能多的信息。 使用收集的信息，基于四个不同方面来计算每个包装的最终分数：质量，维护，受欢迎程度和个性