Исходное сообщение
"В репозитории NPM выявлен вредоносный пакет discord.dll " Отправлено Аноним, 11-Ноя-20 18:58
Разница в том, что ты запускаешь только код из проекта, разработчикам которого доверяешь. Если не доверяешь, на фига тебе вообще это собирать? Ты ведь полученный бинарь запускать собрался, небось? Точно так же и он сам может оказаться трояном. В случае npm без спроса выполняется код, получаемый по огромному и не поддающемуся контролю дереву зависимостей, написанный разными разработчиками, установить личности которых зачастую не представляется возможным. И, кстати, если ты не гентушник или слакварщик, сборка обычно происходит не на рабочей системе, а в изолированном одноразовом окружении (в chroot, контейнере, виртуалке). Но это уже второстепенно.