Исходное сообщение
"Применение тайпсквоттинга для распространения вредоносных мо..." Отправлено Аноним, 10-Июн-16 06:29
Я знаю только за ноду. В npm лежат не только модули к ноде, но, иногда, попадаются всякие вспомогательные утилиты, вроде генератора заготовки для экспресса или jshint. В всех инструкциях к этим "модулям", авторы считают что их детищем будут пользоваться ежедневно и поэтому пишут чтобы их поделия ставились с флагом -g (npm install -g jshint). После такой установки модули помещаются не в текущую директорию, из которой был вызван npm install, а куда-то в /usr и поэтому требуют права рута для инсталяции. Т.ч. npm install может запускаться с рутовскими правами не только в докере. Если же пакеты запускаются в докере, то не понятно как у них считается статистика. Если люди доросли до докера в связке в нодой, то это явно случай девопса головного мозга. А это значит запуск юнит тестов на каждый чих, запуск приложения на нескольких серверах и т.п. Если это будет фигово сделано, то npm install может дергаться постоянно и один такой крупный проект может накрутить всю статистику с установкой модулей под рутом.