Про безопасность разработчики думают в терминах продакшена: секреты, CVE, CI. А редактор на рабочей машине обвешивают плагинами по первой ссылке в маркетплейсе — и зря.
Свежий пример — кампания GlassWorm. Фейковый WakaTime на Open VSX при активации запускал нативный бинарник, который расползался по всем IDE на ноуте и воровал пароли с токенами. Кампания шла с марта 2025-го.
Полезная привычка, которую стоит прокачать как навык:
— смотреть на издателя и число установок, не только на название;
— раз в пару месяцев чистить список расширений;
— хранить токены в менеджере секретов, а не в
.env;— после таких новостей идти ротировать токены GitHub и npm, а не надеяться.
Гигиена инструментов — такой же профессиональный навык, как умение читать стектрейс.
@prog_point (теперь ещё в VK и Max)