npmscan-action

#Tổng quan

Công cụ này giúp phát hiện các thay đổi nguy hiểm trong package.json hoặc file khóa trước khi hợp nhất, bao gồm các lỗ hổng đã biết, mã độc, và các thay đổi nguồn.

#Tính năng chính

• Kiểm tra lỗ hổng đã biết và mã độc từ OSV.dev và GitHub Advisories
• Phát hiện các script cài đặt mới: một phụ thuộc bỗng nhiên chạy mã trên npm install
• Kiểm tra thay đổi trong file khóa: cùng phiên bản tải về một URL tarball khác hoặc một gói khác
• Kiểm tra thay đổi trong script cài đặt và overrides của bạn

#Khi nào sử dụng

• Phòng thủ trước khi hợp nhất code để đảm bảo không có lỗ hổng đã biết hoặc mã độc trong dự án
• Kiểm tra được phép trước khi hợp nhất để đảm bảo không có thay đổi nguồn không mong muốn

#Lưu ý an toàn khi triển khai

• Công cụ được hệ thống tự động phát hiện từ GitHub, chưa qua thẩm định thủ công của HueCA-CYBER: kiểm tra mã nguồn, bản phát hành chính thức và chạy thử trong môi trường cô lập trước.
• Công cụ này không yêu cầu API key và không cần tài khoản, nhưng bạn nên cẩn thận khi sử dụng để không bỏ sót các thay đổi quan trọng
• Công cụ này không kiểm tra các lỗ hổng mới phát hiện, chỉ kiểm tra các lỗ hổng đã được công bố

#Nguồn

• Repository chính thức: https://github.com/NPMscan/npmscan-action