待验证50% 置信事实精确时间

Bumply 在执行更新前对项目的 package.json 和 lockfile 进行逐字节（byte-for-byte）备份，并在更新失败时立即回滚

1

来源数

50%

置信度

中期 (~90 天)

时效性

2026/8/26

首次发现

有效期至：2026/11/24

来源

Bumply：支持一键回滚的Mac依赖更新管理工具

涉及实体

相关事实

待验证版本锁定文件（package-lock.json或yarn.lock）无法完全阻断供应链攻击，因为新建项目首次安装仍会拉取被污染版本，且自动化更新工具可能升级至恶意版本65% 相似待验证shadcn/ui 采用「复制代码到本地」而非「npm包依赖」的分发模式，消除了版本锁定问题59% 相似待验证该RoPE Bug已被修复并提交了相应的代码更新56% 相似

引用此条事实

Stable URI

https://kongchang.com/claim/802972

API

curl https://kongchang.com/api/v1/knowledge/claims/802972

MCP

get_claim(id=802972)