待验证50% 置信事实精确时间

npm 的 postinstall 脚本机制可以在包安装时自动执行任意代码，无需用户额外操作

1

来源数

50%

置信度

长期有效

时效性

2026/8/18

首次发现

来源

笔记本电脑：明文密钥的最后堡垒

相关事实

待验证攻击者可利用npm的postinstall脚本机制在包安装时自动执行任意代码80% 相似待验证持续交付随时可以上线但由人决定，持续部署代码提交后全程无需人工干预自动部署61% 相似待验证npm的依赖管理机制允许同一个包的不同版本在同一项目中共存，每个依赖项维护自己的node_modules子目录61% 相似待验证在提示词中明确指示复用已有的 post-tweet.py 脚本，可避免代理每次重新生成临时脚本、提升流程稳定性59% 相似已验证PostToolUse Hook 在工具操作完成之后触发，可用于代码自动格式化、自动运行测试、自动重载服务等59% 相似

引用此条事实

Stable URI

https://kongchang.com/claim/767532

API

curl https://kongchang.com/api/v1/knowledge/claims/767532

MCP

get_claim(id=767532)