pnpm 11 默认"冷静期"：供应链攻击的24小时解法？

你的构建流水线正在以多快的速度吞下陌生代码？pnpm 11 给出的新答案是：至少等一天。

这个改动看似反直觉——慢下来反而更安全。但背后的逻辑直指开源生态最脆弱的环节：恶意包从发布到被检测，往往只需要几分钟，而自动化工具的安装速度比人工审核更快。

为什么"即装即用"成了攻击通道

长期以来，主流包管理器默认信任所有已发布内容。npm、yarn 及此前版本的这一工具行为一致：版本号匹配？立即拉取，不问出处。

这种设计在供应链攻击面前形同虚设。攻击者发布一个带毒的新版本，CI/CD 流水线会在数分钟内将其引入生产环境。等到安全研究员标记该版本、注册表将其下架，损害早已造成。

Socket.dev 的研究人员记录了这一模式的运作方式：攻击者利用预安装（preinstall）或后安装（postinstall）钩子，下载经过混淆的运行时载荷，最终窃取开发者和 CI/CD 系统的凭证与密钥。这类攻击横跨 npm、PyPI、Packagist 等多个注册表，而大多数恶意版本在发布后的数小时内即被检测——但"数小时"对于分钟级响应的自动化系统来说，已经太迟。

这一工具的第 11 版新默认值正是针对这个"检测窗口期"设计的。

24 小时冷静期：最小发布年龄机制

该版本最核心的改动是将最小发布年龄（Minimum Release Age）设为 1,440 分钟，即 24 小时。新发布的包版本在达到这一年龄前，不会被解析和安装。

这一机制直接压缩了攻击者的有效窗口。即使恶意包成功上传，它也无法立即进入依赖该包的流水线。24 小时的延迟为安全社区的检测、标记和下架流程留出了缓冲空间。

团队可通过 minimumReleaseAge 配置项调整这一数值，也可使用 minimumReleaseAgeExclude 为特定包设置白名单——例如关键热修复或安全补丁需要立即部署的场景。

这一改动并非该工具独有。Go、Rust、PHP 生态近期也针对跨注册表的"新鲜包"供应链攻击 campaign 做出了响应。第 11 版的发布时机，恰好处于这一波生态级安全升级的节点上。

另外两道闸门：阻断"异域"子依赖与受控构建

除最小发布年龄外，该版本还默认启用了两项安全机制。

第一项是 blockExoticSubdeps，即阻断"异域"子依赖。这类依赖指通过非标准方式解析的传递性包，例如从 GitHub 仓库、本地文件路径或特定 URL 直接拉取的代码。它们绕过了注册表的常规审核流程，成为供应链攻击的常见载体。

第二项是 Allow Builds 模型，用于控制哪些包可以在安装期间执行构建脚本。此前，任意包的 install 钩子都能运行任意代码；现在，这一权限需要显式授予。

三道防线共同构成该版本的默认安全姿态：慢安装、窄来源、受控执行。团队仍可按需覆盖这些设置，但起点从"完全开放"转向了"默认保守"。

包管理器的角色迁移：从工具到策略执行点

对 GoSvelte 目标团队而言，这次发布揭示了一个更深层的变化：包管理器正在从"依赖解析工具"演变为"供应链安全策略的执行层"。

这一迁移有其必然性。开发者的依赖树深度和广度持续膨胀，人工审计每一层传递依赖已不现实。将安全决策嵌入工具链的默认行为，成为规模化防御的唯一可行路径。

这次改动也引发了一个未被明确回答的问题：24 小时是否足够？Socket.dev 的数据显示"大多数恶意包在数小时内被检测"，但未给出具体分布。如果某类攻击的检测时间中位数超过 24 小时，冷静期的效用将打折扣；反之，若检测通常在 2-4 小时内完成，24 小时或许有余量，团队可能愿意接受更短的延迟以换取敏捷性。

这种权衡空间被刻意保留在配置项中，而非硬编码——该工具选择提供可调参数，而非替所有用户做统一决定。

行业涟漪：当"慢"成为安全基础设施

该版本的默认策略并非孤立事件。同期，Go、Rust、PHP 生态均在响应同一波跨注册表攻击。这种同步性暗示了供应链攻击的演化方向：攻击者不再针对单一生态，而是在 npm、PyPI、Packagist 之间横向移动，寻找防护最薄弱的环节。