前端依赖供应链风险应该怎样防范？
从依赖选择、锁文件、安装脚本、更新审查和发布权限说明前端项目的供应链安全边界。
参考答案
风险不只来自“恶意包”，还包括被接管的维护者账号、传递依赖、安装脚本、被污染的构建环境和发布令牌泄露。前端项目应记录依赖来源与许可，提交锁文件，审查重大版本升级，并在 CI 中使用最小权限和受保护的发布凭据。
npm install 可能执行生命周期脚本；在不信任的依赖或构建环境中应评估是否需要禁用脚本、使用隔离构建和固定依赖版本。锁文件能提高可重复性，但不能证明包本身安全，仍要结合审计、维护状态、变更内容和实际产物检查。
供应链防护不能靠复制一条审计命令完成。要明确谁可以发布、构建产物如何生成、依赖何时升级、漏洞如何响应，以及浏览器端代码是否会把秘密打包进去。