Npm

All Posts

Published on
2026년 7월 11일
npm 공급망 공격이 사라지지 않는 이유 — npm-scan이 실제로 하는 일과, 정말 효과 있는 방어
npm supply-chain security javascript nodejs devsecops
npm 생태계의 공급망 공격은 우연한 사건이 아니라 설치 스크립트, 전이 의존성, 타이포스쿼팅이라는 구조에서 반복적으로 나온다. 2025년 Shai-Hulud 웜은 설치 스크립트로 스스로 번식하며 npm 토큰과 클라우드 키를 훔쳐 갔다. 최근 Hacker News에서 화제가 된 npm-scan은 이 문제를 로컬에서 정적·행위 분석으로 잡겠다고 표방하는 도구다. 이 글은 README를 근거로 npm-scan이 실제로 무엇을 검사하고 무엇을 검증할 수 없는지 가르고, 락파일과 설치 스크립트 차단, provenance, 최소 의존성처럼 정말 효과 있는 방어를 정리한다.
Published on
2026년 7월 11일
npm 供应链攻击为何挥之不去 — npm-scan 实际做的事，以及真正有效的防御
npm supply-chain security javascript nodejs devsecops
npm 生态系统的供应链攻击不是偶发的意外，而是从安装脚本、传递依赖、typosquatting 这些结构中反复冒出来的。2025 年的 Shai-Hulud 蠕虫借助安装脚本自我繁殖，窃取 npm 令牌和云端密钥。最近在 Hacker News 上引发热议的 npm-scan，声称要用本地的静态与行为分析来抓住这个问题。本文以 README 为依据，厘清 npm-scan 究竟检查什么、又无法验证什么，并梳理锁文件、拦截安装脚本、provenance 与最小依赖这些真正有效的防御。
Published on
2026년 6월 12일
npm 공급망 공격 해부 — Red Hat까지 뚫린 시대의 방어 전략
npm supply-chain security devops sigstore ci
2026년 6월 Red Hat Cloud Services 공식 npm 패키지까지 악성 코드에 노출된 사건을 계기로, npm 공급망 공격의 유형을 해부하고 lockfile 무결성, provenance 서명, 사내 레지스트리, CI 네트워크 격리까지 조직이 갖춰야 할 방어 스택을 정리합니다. 바로 적용할 수 있는 .npmrc와 GitHub Actions 설정 예제를 함께 제공합니다.
Published on
2026년 4월 12일
패키지 매니저 완전 가이드 — npm, uv, RPM, Homebrew 원리와 소프트웨어 등록법
devops npm uv rpm homebrew package-manager pypi registry 2026-04
npm은 어떻게 작동하고, uv는 왜 빠르며, RPM은 무엇이고, Homebrew에 소프트웨어를 등록하는 방법은? 패키지 매니저의 원리와 배포법을 깊이 다룹니다.

Npm

npm (4)

npm 공급망 공격이 사라지지 않는 이유 — npm-scan이 실제로 하는 일과, 정말 효과 있는 방어

npm 供应链攻击为何挥之不去 — npm-scan 实际做的事，以及真正有效的防御

npm 공급망 공격 해부 — Red Hat까지 뚫린 시대의 방어 전략

패키지 매니저 완전 가이드 — npm, uv, RPM, Homebrew 원리와 소프트웨어 등록법