随着开源生态系统的繁荣，npm成为了全球数百万开发者日常工作不可或缺的工具。然而，正是这种广泛的依赖也带来了严重的安全隐患。近期，广受欢迎的npm包eslint-config-prettier遭遇了一场引发广泛关注的供应链攻击事件，引起了开发者社区和安全专家的高度重视。本文将全面解析此次事件的背景、影响以及针对开发者和企业的应对建议，旨在提升大家对供应链安全的认知和应对能力。eslint-config-prettier是一个帮助开发者将Prettier格式化风格与ESLint规则兼容的配置包，广泛应用于代码格式自动化管理领域。该工具通过关闭与Prettier冲突的ESLint规则，保障团队代码风格一致，从而提高开发效率和代码质量。
因其高人气和重要性，此次包的安全事件带来了潜在的广泛影响。2025年7月，安全研究机构StepSecurity发布通报称eslint-config-prettier多个版本被确认包含恶意代码，这些代码在安装时会执行恶意DLL文件，主要在Windows系统上发挥作用。此次事件的核心在于包的维护者账户遭遇复杂的钓鱼攻击，攻击者得以获取发布权限，进而在npm上发布了带有恶意代码的版本。维护者JounQin在社交媒体上坦承因为一封精心设计的钓鱼邮件而导致npm令牌泄露，及时废除了令牌并发布了安全版本以阻止进一步影响。这一事件清楚地表明供应链攻击越来越多地针对人的信任和操作失误，而非单纯技术漏洞。此次被确认感染的版本包括eslint-config-prettier在8.10.1、9.1.1、10.1.6、10.1.7版本以及与之相关的eslint-plugin-prettier和其他几个热门包，如“is”和“got-fetch”。
其中，恶意代码会在安装阶段悄悄运行，使用node-gyp.dll恶意库在Windows上执行“rundll32”命令，带来潜在风险。安全团队分析发现，受影响版本均未在官方GitHub代码库同步对应的提交，这种无代码变更却频繁发布新版本的异常行为是本次事件的关键线索之一。该包发布期间，代码库无更新记录，但npm依然发布多个新版本，显示异常。分析报告还指出，多个自动化工具如Dependabot和Renovate Bot曾向许多项目提交了更新请求，将eslint-config-prettier升级至存在风险的受影响版本，这使得事件影响面进一步扩大。许多使用这些自动依赖更新工具的开发团队可能未意识到风险，自动合并了含恶意代码的PR，导致项目暴露于供应链攻击威胁中。不仅如此，此次攻击还向其他包扩散，显示攻击者采取了系统性策略，利用钓鱼手段控制多个包的维护者账户，并以类似手法植入恶意代码。
针对got-fetch包的攻击甚至引入了名为“Pycoon”的信息窃取木马，进一步说明攻击复杂且针对性强。面对这场严峻的供应链攻击，开发者和企业需要立即采取多种保护措施。首先，确保项目所用eslint-config-prettier版本位于安全列表，严禁使用8.10.1、9.1.1、10.1.6及10.1.7等受感染版本。建议锁定使用官方发布的清洁版本，避免自动升级导致潜在风险。其次，回溯审查近期依赖升级历史，重点排查通过自动化工具合入的依赖变动，确认是否意外引入了受影响版本。同时，加强CI/CD流水线安全，审查构建日志与执行环境，检测任何异常网络连接或文件操作，及时发现供应链恶意行为。
采用运行时监控工具，如StepSecurity的Harden-Runner，可以对构建过程中的系统调用和网络流量进行监测，快速识别异常并阻断潜在攻击。企业级用户推荐引入StepSecurity的Artifact Monitor等持续监控解决方案，实现对发布行为的实时审查和异常报警，缩短暴露于攻击的时间窗口。除了技术手段，维护者也须注意账号安全，避免钓鱼邮件陷阱。借助多因素认证、权限细化分配和密钥管理策略，有效降低令牌被盗风险。开源项目应建立透明的安全事件通报机制，及时响应并向社区公开信息，共同降低对开发者及终端用户的威胁。此次事件充分提醒我们，供应链安全是当代软件开发中不容忽视的关键环节。
从人为因素入手的钓鱼攻击能迅速破坏技术防线，因此开发者、企业与维护者需要多维度施策。加强依赖管理规范、提高自动化工具的安全审查能力、强化构建和发布过程的可监控性，都成为保障开源生态健康发展的重要保障。此外，社区与安全团队的紧密配合与信息共享，也为尽早发现与遏制此类攻击奠定了基础。未来，随着供应链攻击的频率与复杂度不断提升，开发者社会需要持续深化安全意识，并推动供应链安全标准化建设。各方有必要协同合作，通过技术进步、流程优化及用户教育，构筑更加坚固的安全防御体系。总的来说，eslint-config-prettier供应链攻击事件提醒我们，任何知名开源项目都可能成为黑客目标。
只有通过快速响应、全面防护和透明沟通，才能最大限度降低安全风险，保护广大开发者及其用户的利益。面对日益增长的安全威胁，持续关注供应链安全动态，及时修复和升级受影响依赖，是每个项目不可推卸的责任。只有构筑稳固安全屏障，才能在开放共享的开源环境中真正实现高效且安全的创新。
