已验证75% 置信事实精确时间
npm的lifecycle脚本（preinstall、install、postinstall）会在npm install时自动执行，是供应链攻击最常被滥用的技术特性之一
3
来源数
75%
置信度
长期有效
时效性
2026/7/13
首次发现
来源
jscrambler npm包遭投毒：供应链攻击应急响应与防护指南
redditr/programming2026/7/11
相关事实
待验证典型的 npm 发布工作流通常包含以下阶段：检出代码 → 安装 Node.js 环境 → npm ci 安装依赖 → 运行测试 → 执行 npm version 打 tag → 使用 NPM_TOKEN 机密发布到 registry。68% 相似待验证从 npm 源安装的插件现在会以 npm pack --ignore-scripts 方式获取并进行完整性校验，包的安装脚本不再自动运行66% 相似待验证npm允许包在安装阶段执行脚本（如postinstall），且默认不强制签名验证。64% 相似待验证设置 npm 路径后会在用户目录下自动生成 .npmrc 配置文件，记录当前的 npm 配置项63% 相似待验证npm的prefix决定npm install -g全局安装工具包的存放位置，包会放在prefix目录下的node_modules子文件夹中63% 相似
引用此条事实
Stable URI
https://kongchang.com/claim/500923API
curl https://kongchang.com/api/v1/knowledge/claims/500923MCP
get_claim(id=500923)