Aikido Partners with Drydock to Bring Pre-Publish Malware Review to npm and PyPI

Aikido Security is partnering with Drydock to provide pre-publish malware review for npm and PyPI packages. Drydock integrates with npm's staged publishing feature to let maintainers inspect the exact contents of a release before approving it — diffing the tarball against the last published version and flagging security-relevant changes like new lifecycle scripts, added binaries, or network-reaching code. For PyPI (which lacks staged publishing), Drydock runs as a GitHub Actions environment gate, pausing the release pipeline for human review. The tool is free for npm and PyPI maintainers, uses a read-only token, and never publishes on its own, keeping humans in the loop at every step.

Nguồn: https://www.aikido.dev/blog/drydock-pre-publish-package-review. 8sync News chỉ tóm tắt và dẫn link; bản quyền nội dung thuộc tác giả và nguồn gốc.

Đề xuất cho bạn

Node Weekly12 phút6 giờ trướcAI

Issue #630: Node.js 26.4 lands package maps — Node Weekly

Node.js 26.4 bổ sung hỗ trợ thử nghiệm package maps (giải quyết package từ file JSON tĩnh thay vì duyệt node_modules) và bắt đầu giới thiệu subsystem node:vfs của Matteo Collina. Bản tin cũng đề cập đến phân tích về hạn chế bảo mật của npm v12 khi chặn script cài đặt mặc định, bài viết suy đoán về npm chạy trên AT Protocol, TypeScript 7.0 RC với compiler Go nhanh gấp 10 lần, và framework Eve của Vercel cho xây dựng AI agent theo cấu trúc Next.js.

Lập trình viên nên đọc để cập nhật về Node.js 26.4, đặc biệt là tính năng mới về package maps (tối ưu hóa giải quyết phụ thuộc từ JSON thay vì khám phá node_modules) và vfs subsystem của Matteo Collina, giúp cải thiện hiệu suất và quản lý dự án.