Shai-Hulud 与 npm 供应链安全：依赖、凭据和构建环境
以 Shai-Hulud 事件为背景，检查 npm 依赖安装脚本、锁文件、发布凭据与构建日志，区分版本一致性和依赖可信度。
供应链攻击可能借助合法包的新版本进入项目。锁文件能固定解析结果，却不能保证锁定的包本身可信；发布权限、依赖更新和构建环境需要一起治理。
检查依赖与安装阶段
结合官方公告核对包名和具体版本，再检查锁文件变更及依赖的生命周期脚本。npm run 只展示当前项目的脚本，不能用来审计整个依赖树。npm ci --ignore-scripts 可用于受控分析环境，但某些正常依赖也需要构建步骤，禁用脚本后必须验证应用能否工作。
缩小凭据权限
区分安装依赖所需权限与发布包所需权限，不在普通构建任务中提供无关发布凭据。优先按 npm 官方流程评估可信发布与短期身份；一旦存在凭据暴露迹象，撤销和轮换应在受信任环境中完成。
保留可用的排查证据
保存锁文件、构建镜像摘要和安装日志，以便判断哪个版本在哪个环境执行过。观测云日志采集可集中保存已输出的构建和运行日志，但并不会自动扫描每个依赖或记录全部敏感文件访问。需要进程执行、文件审计与安全检测时，应接入对应的数据源和安全工具。
陌生仓库的编辑器任务与工作区配置也应先审查；这是通用的开发环境防护，不能在缺少证据时归因于某一特定蠕虫变种。
接入文档：日志采集。
