Исходное сообщение
"Незащищённость NPM к атакам по внедрению вредоносных модулей..." Отправлено anonimous, 28-Мрт-16 12:31
> но непонятна ситуация с владельцами NPM Как и с любым другим онлайн-сервисом. Хочешь надежности -- проверяй и держи на своих машинах. > cargo индекс, виден всем (на гитхабе) и человек может понять перед загрузкой, кто, когда и где стоит за таким-то пакетом перед загрузкой его через cargo! Как и в любом другом хранилище пакетов. Но см пункт 1 -- ты никогда не сможешь гарантировать, что чужой сервис вернет тебе правильную информацию. > Кроме-то в Rust(cargo) сейчас запрещены вайлдкарды версий(*) в зависимостях В любой системе зависимостей можно выбрать -- привязаться к последней версии или по * -- это исключительно выбор разработчика. Наркоманское ограничение в cargo, кстати, только говорит о его убогости -- да, да когда-нибудь кому-нибудь может понадобиться эта фича и придётся городить костыли с авто-генератором зависимостей для билд-скрипта.