2026 年 5 月，蠕虫 Shai-Hulud 利用 GitHub Actions
pull_request_target 漏洞攻破 TanStack 的 42 个包（包括 @tanstack/react-router），3 小时内造成约 22.5 万次下载。攻击者通过缓存投毒发布恶意包，并植入死机开关，一旦 Token 被吊销即删除用户主目录。防御措施：- npm：在
.npmrc 中设置 min-release-age=7 和 ignore-scripts=true（需 npm v11 / Node 24）。- pnpm：
pnpm-workspace.yaml 中配置 minimumReleaseAge: 10080（7 天），v10 起默认关闭 preinstall/postinstall 脚本。- Yarn Berry：
.yarnrc.yml 中配置 npmMinimalAgeGate: 10080 和 enableScripts: false（需 Yarn 4.10+）。两类核心配置均能有效阻断近期发布的恶意包和自动执行的安装脚本。
链接：
原文链接
相关链接
#开发者 #工具
📢 频道：@DevToolboxHub