三行配置防下一个 Shai-Hulud：npm 供应链攻击加固实践含完整 prompt
kesarito · x · 2026-10-27
作者分享了他用三行配置加固所有机器、防范类似 Shai-Hulud 的 npm 供应链蠕虫的做法：不接受发布少于 3 天的新包版本、禁用依赖安装脚本、禁止其他包引入 git 依赖。
他发布了一个 GitHub gist，内含一条可直接投喂给 coding agent 的系统加固 prompt：自动检测操作系统（macOS/Linux/Windows），盘点 npm/pnpm/yarn/bun 并机器级配置——npm 设置 min-release-age=3、ignore-scripts、allow-git=root（需 npm≥11.10）；pnpm 设置 minimumReleaseAge: 4320 分钟与 blockExoticSubdeps（需 ≥10.16）；bun 设 minimumReleaseAge=259200 秒（需 ≥1.3）；yarn classic 只能 ignore-scripts、berry 用 enableScripts:false + npmMinimalAgeGate。并要求每项设置用真实测试验证后汇报。
「编程与Agent」频道最新
- shadcn：语音转文字应用=T3 代码+一个 prompt，自带模型跑通全流程 — shadcn · 2026-10-27
- 写代码变便宜了，但被省掉的摩擦原本在做有用的认知工作 — charles_irl · 2026-10-27
- 一人+AI 挑战全套 Adobe:Rust 开源套件 Crafting Apps 浮出水面 — ankur_maker · 2026-10-27
- Anthropic 官方指南：企业 Agent 该把子代理折回主循环 — addyosmani · 2026-10-27
- Claude Code 空闲自动压缩惹恼用户，两条命令即可关闭 — JasonBotterill · 2026-10-27
- 博主用 Claude Code 自制新闻联播风片头，卡在配音环节 — xiaohu · 2026-10-27