bash - 替代方案如何比使用 curl 更好 | sudo sh

Question

This页面说“使用 curl | sudo sh”模式:

Use this approach when making changes on production server [instead]

curl -sf -L https://static.rust-lang.org/rustup.sh -o rustup.sh
less rustup.sh
chmod +x rustup.sh
sudo ./rustup.sh

我不明白为什么这比只做 curl | 更好须藤 sh。下载文件并先对其进行 chmod 有什么区别。我还没有看到任何关于 curl | 的替代方案的争论。 sh 以及为什么它们更好，只有 curl 的问题 |嘘。请解释上面的内容如何更好(在一些细节上)，或者任何其他替代方案在一些细节上更好。

例如，没有响应 here解释任何替代方案或为什么它们更好。与我见过的所有其他网站一样。

主要论点是，如果有人入侵了您的服务器，他们可以用其他东西替换代码。但是任何包管理器都不会发生这种情况吗？我的意思是谁每次都在 npm 安装 之前深入检查代码，甚至使用它的 native C 扩展。这些可能会做同样的事情，尤其是在安装时运行的 shell 脚本之前/之后。我看不出这些比在 bash 中进行管道传输更安全。

Answer 1

显着的区别在于 less 的使用。报价提示您检查已下载文件的内容。这是必要的，因为代码没有签名。包管理器使用签名来信任源。检查内容很重要，因为将某些内容从 Web 服务器直接通过管道传输到您的 shell 是不安全的。参见 here如何利用它 here以获得描述。