Axin科技博客

上周四深夜，一名开发者照常打开GitHub，发现自己的仓库里多了一条奇怪的commit——来自一个“安全研究员”的pull request，声称修复了一个XSS漏洞。出于谨慎，他没有直接合并，而是点开了代码改动细节。结果发现，所谓的“修复”悄悄在package.json里加入了一行依赖指向一个来历不明的npm包。这不是虚构的恐怖故事，而是刚刚发生在TanStack生态中的真实一幕。更令人关注...