Bayangkan skenario ini. Anda ingin menginstal aplikasi di kotak Linux Anda. Paket ini dalam tahap pengembangan awal dan hanya tersedia di repositori NPM. Anda sedikit paranoid dan skeptis tentang keaslian paket. Apa yang akan kamu lakukan? Jika Anda seorang programmer, Anda dapat memeriksa kode paket dan melihat apakah ada masalah di dalamnya. Jika Anda tidak tahu tentang pengkodean, Anda tidak punya pilihan selain mempercayai paket secara membabi buta dan tetap menginstalnya. Untuk mengatasi masalah ini, ada program bernama "npq" yang dapat digunakan untuk menginstal paket dengan aman menggunakan Npm atau Benang manajer paket di Linux.
npq akan mengaudit paket yang ingin Anda instal sebelum menginstalnya. Jika ada kerentanan yang diketahui, peringatan akan ditampilkan, sehingga Anda dapat melewati penginstalan dengan aman.
Npq akan melakukan langkah-langkah berikut untuk memverifikasi apakah paket tersebut aman atau tidak.
- Ini akan memeriksa Snyk Vulnerability DB untuk memastikan apakah ada kerentanan untuk paket tersebut. Jika ada kerentanan yang diketahui, peringatan akan ditampilkan.
- Periksa usia paket. Jika usia paket kurang dari 22 hari, maka akan muncul pesan peringatan.
- Periksa jumlah unduhan paket. Jika jumlah unduhan paket kurang dari 20 dalam sebulan terakhir, maka akan muncul peringatan.
- Periksa apakah ada README untuk paket tersebut. Jika tidak ada README, maka akan muncul peringatan.
- Periksa apakah paket memiliki skrip pra atau pasca. Skrip ini mungkin berbahaya, sehingga akan menampilkan pesan peringatan.
Jika Anda tidak melihat peringatan apa pun, paket tersebut mungkin aman. Harap perhatikan bahwa saya mengatakan - paketnya MUNGKIN aman . Tapi tidak ada jaminan keamanan . Paket berbahaya atau rentan mungkin masih ada yang tidak memiliki pengungkapan yang dipublikasikan di database Sync dan lolos pemeriksaan npq.
Setelah semua tes dilakukan, npq akan menyerahkan proses instalasi paket yang sebenarnya ke manajer paket Npm atau Yarn. Npm adalah default.
Harap diperhatikan bahwa Npq tidak akan menghalangi Anda untuk menginstal paket-paket tersebut. Itu hanya akan mengaudit paket untuk kemungkinan masalah keamanan dan menampilkan peringatan jika ada kerentanan yang diketahui. Terserah Anda untuk memutuskan apakah akan mengabaikan penginstalan atau melanjutkan dengan risiko Anda sendiri.
Instal Npq
Pastikan Anda telah menginstal Nodejs di kotak Linux Anda. Jika tidak, lihat tautan berikut.
- Cara Memasang NodeJS Di Linux
Setelah menginstal Nodejs, jalankan perintah berikut untuk menginstal Npq:
$ npm install -g npq
Perintah di atas akan menempatkan dua binari yaitu npq dan npq-pahlawan di jalan Anda.
Menginstal Paket dengan Aman Menggunakan Npm Atau Benang Di Linux
Untuk mengaudit dan menginstal paket, misalnya tldr , cukup jalankan:
$ npq install tldr
Contoh keluaran:
✔ Checking package maturity ✖ Identifying package author... ✔ Checking package download popularity ✔ Checking availability of a README ✔ Identifying package repository... ✔ Checking package for pre/post install scripts ✖ Checking for known vulnerabilities Detected possible issues with the following packages: [tldr] - the package description has no e-mail associated with author(s). Proceed with care. [*] - Unable to query for known vulnerabilities. Install snyk and authenticate or provide a SNYK_TOKEN env variable (https://snyk.io) ? Would you like to continue installing package(s)? (y/N)
Seperti yang Anda lihat pada output di atas, ada tiga peringatan:
- Npq tidak dapat mengidentifikasi pembuat paket tldr,
- Tidak ada alamat email di deskripsi paket,
- Saya belum menyiapkan dan mengautentikasi dengan database Snyk. Untuk menginstal Synk CLI dan mengautentikasi dengan database Snyk, lihat tautan ini .
Jika Anda tidak peduli dengan peringatan tersebut dan percaya bahwa itu aman, ketik saja Y untuk melanjutkan menginstal paket.
Buat alias
Npq hanyalah alat pra-langkah untuk memeriksa kerentanan yang diketahui dari paket npm sebelum benar-benar menginstalnya. Jika sering menggunakannya dalam pekerjaan Anda sehari-hari, cukup buat alias seperti di bawah ini.
$ alias npm='npq-hero'
Mulai sekarang, Anda cukup mengaudit paket npm dan menginstalnya menggunakan perintah:
$ npm install package_name
Ubah pengelola paket default
Seperti yang sudah saya sebutkan, Npq akan menyerahkan proses instalasi ke Npm manajer paket secara default setelah mengauditnya. Jika Anda ingin menetapkan Yarn sebagai pengelola paket default, tentukan variabel lingkungan:
NPQ_PKG_MGR=yarn
Untuk membuat alias dengan yarn sebagai pengelola paket, lakukan:
alias yarn="NPQ_PKG_MGR=yarn npq-hero"
Semoga membantu.