npm - brew、cask、pip、npm、composer 等从哪里获取它们的东西，什么可以防止恶意软件？

转载作者：行者123 更新时间：2023-12-02 02:52:05

25

4

如果我使用 brew 或 brew cask(在 macOS 上)或 npm 或 pip 或 composer 或类似的包/代码/库管理器，我一直想知道:

他们从哪里获取内容，谁或哪个实体在管理、促进或托管所有这些软件、软件包、模块或库？
是否有任何检查、安全过滤器、审计、验证或其他机制来防止通过这些包管理器分发的包或库中出现恶意软件？

最佳答案

Composer

包列表存储在 https://packagist.org/ ，但只有元数据。包直接从相关存储库(通常是 GitHub 或 GitLab)下载，Packagist 不存储或分析其内容。因此，虽然它看起来有点可怕，但安全模型是基于对供应商的信任或直接代码审查。没有神奇的解决方案可以假装它可以保护您免受恶意软件的侵害 - 您需要考虑您在做什么以及您在项目中包含哪些依赖项(或者至少自己使用一些恶意软件扫描程序)。

关于npm - brew、cask、pip、npm、composer 等从哪里获取它们的东西，什么可以防止恶意软件？，我们在Stack Overflow上找到一个类似的问题： https://stackoverflow.com/questions/51792067/

25

4

0

文章推荐： youtube - channel 视频列表中缺少的视频

文章推荐： string - 如何在 haskell 中正确定义空字符串？

文章推荐： haskell - 成本敏感的折叠

文章推荐： drivers - 从 MSI Capability Structure 读取地址

pip - pip install 和 pip download 有什么区别？
pip install 和 pip download 有什么区别？ $ pip --version pip 9.0.1 from c:\users\nahawk\python\python27\lib
pip - 为什么 PIP 在 pip freeze 上引发 AssertionError？
我的控制台: desarrollador@desarrollador-HP-14-Notebook-PC1:~$ pip freeze Exception: Traceback (most rec
python - Pip: ImportError: 入口 pip ('console_scripts' , 'pip' ) 未找到
我用 pip 安装: $ sudo apt-get install python-setuptools, python-pip 但是当我尝试使用 pip 安装某些东西时出现此错误 sudo pip i
python-pip yum 包提供 pip-python 而不是 pip
我通过 yum 安装了 python-pip 包(使用 Fedora 的更新仓库)。它不会将 pip 脚本添加到我的 PATH 中。 $ which pip /usr/bin/which: no pi
pip install doesn't work ('pip' is not recognized as an internal or external command) but py -m pip install -U works [duplicate](Pip安装不起作用(‘pip’未被识别为内部或外部命令)，但py-m pip install-U起作用[复制])
在Windows上使用python。当我尝试使用以下命令安装新库时。它会抛出错误，指出‘pip’未被识别为内部或外部命令、可操作程序或批处理文件。。但是当我使用代码的时候。它给了我一个有效的结果。。为
pip - ImportError: 入口 pip ('console_scripts' , 'pip' ) 在 Mac 上找不到
我收到了消息 You are using pip version 8.0.2, however version 8.1.2 is available. You should consider upgr
pip - 使用 pip 降级或安装较早版本的软件包
我安装了一个版本的包(例如 transformers 3.4.0) 我想安装一个较早的版本。我安装: pip install transformers==3.1.0 检查安装的版本时 pip free
pip - 如何使用 Pip 卸载部分安装的模块
我最近决定尝试在我的计算机上安装 tesseract 并运行 pip3 install tesseract-ocr。然后它开始下载 cython，这提醒我 tesseract-ocr 不是我想要的，
pip - 如何仅按名称搜索 pip 包？
默认情况下，pip搜索软件包名称和描述。对于某些软件包，这会导致大量的伪造命中，而找到我真正想要的伪命中是一件痛苦的事情。我如何告诉点子我只想按名称搜索？最佳答案目前尚不可行，因为当前实现（第8
pip - zsh 命令找不到 pip
我如何使用 pip在 oh-my-zsh 中？我正在尝试安装 nltk通过 pip，但它告诉我 zsh: command not found: pip .当我查看 .oh-my-zsh/custom/
pip - 如何在conda环境文件中指定 pip 查找链接选项？
我有一个pip要求文件，其中包括Torch和Torchvision的特定于CPU的特定版本。我可以使用以下pip命令成功安装我的需求。 pip install --requirement azure-
pip - 通过需求文件从 pip 安静输出？
pip 有一个 -q/--quiet 标志，可以从命令行理想地工作。我正在使用自动部署过程 (Amazon Elastic Beanstalk)，并且这些工具使用 pip 从需求文件进行安装。不幸的
pip - 如何使用指定附加功能的轮子进行 pip install？
我有一个带有附加功能的软件包，通常可以使用以下命令进行安装。 pip install package[extras] 但是，我也可以通过轮子安装相同的包，指定一些轮子 URL，如下所示。 pip in
pip - 有没有办法使用 pip 获取没有版本信息的已安装模块？
我试过pip freeze 。我需要它只输出由换行符分隔的模块，例如 pip freeze ，除非没有版本号，因为我正在尝试创建一个自动升级程序，并且想要执行 pip install --upgrad
pip - pip.conf可以同时指定两个index-url吗？
我尝试在pip.conf中使用带有index-url的pip。但是，我无法确保我们可以获得所有必需的 python 库。所以，我想知道 pip 支持是否在 pip.conf 的 [global] 部分
pip - 我可以只使用 pip 使直接安装的软件包保持最新吗？
如何列出我直接使用 pip 安装的软件包, 省略已安装的任何依赖项？我有一个运行的 virtualenv，命令如下 $ pip install A B C $ pip install X Y Z 因
pip - 升级所有过时的 pip 包丢弃失败
这个问题在这里已经有了答案: How to upgrade all Python packages with pip (50 个回答) 2年前关闭。我有一个 bash 命令来升级我安装的所有 pip
pip - 如何在谷歌计算引擎上安装 pip 模块？
我正在尝试使用 ssh 运行一些 python 脚本以登录到谷歌计算引擎，但由于我没有权限访问我的用户中的 .cache/pip 文件夹，所以找不到所有已安装的 pip 模块是否有正确的方法来执行此操
pip - 防止 pip 缓存包
有没有办法告诉 pip 永远不要为我的包创建轮缓存？背景我编写了一个供内部使用的包，当使用 setup.py 中的 cmdclass 安装时，它会设置一些符号链接(symbolic link)。如
python-3.x - pip vs python -m pip 为什么 pip 命令抛出模块对象不可调用错误
我看过类似的帖子 pip install vs python3 -m pip install 这并没有真正澄清这个问题。我是 Python 新手，只是遵循基本的 python 3 教程，他们提到 p

首页

博学

6Ren·AI

商城

npm - brew、cask、pip、npm、composer 等从哪里获取它们的东西，什么可以防止恶意软件？

Composer