ni.zsh: npmインストール時のサプライチェーン攻撃を検知する機能を追加

npm/yarn/pnpm/bunを同じコマンドで扱えるni.zshに、npmで配布されているマルウェアを間違ってインストールするのを防ぐ機能を追加しました。 ni.zshについては、次の記事を参照してください。 npm/yarn/pnpm/bunを同じコマンドで扱える ni のzsh実装を書いた | Web Scratch npmパッケージのマルウェア npmパッケージとしてマルウェアをpublishして開発者を狙うサプライチェーン攻撃が最近多くなっています。 たとえば、次の記事ではemails-helperというもっともらしいパッケージ名でマルウェアが配布されていました。 NPM Package Masquerading as Email Validator Contains C2 and Sophisticated Data Exfiltration 他にもtyposquatting

[efcl]

ni.zshでnpmパッケージをインストール(`ni add <pkg>`)する際に、socket.dev を使ったマルウェアチェックができる機能について

[Kesin]

npmにデフォルトで欲しい機能だ

[teppeis]

Socket.devのAPIを使ってインストールするnpmパッケージがマルウェアの可能性があるか確認するラッパー