武林外传：npm江湖风云录

在遥远的东方，有一片神秘的武林世界，这里的武者们不练剑、不耍刀，却精通一门神奇的技艺——编程。而在这片编程江湖中，有一个传奇的存在，那就是npm。

在编程的世界中，npm一直是一个严肃而专业的存在，它管理着数以百万计的包，帮助程序员们高效地构建应用。然而，最近这个圣地却被一股神秘的力量悄然入侵。

近日 Sonatype 安全研究团队近日介绍了一起滥用 npm 的案例 —— 他们发现托管在 npm 的 748 个软件包实际上是视频文件。

据介绍，这些软件包每个大小约为 54.5MB，包名以 “wlwz” 作为前缀，并附带了应该是代表日期的数字。时间戳显示，这些包至少自 2023 年 12 月 4 日起就一直存在于 npm，但 GitHub 上周已经开始删除。

这里的 ts 不是 TypeScript 文件，而是 transport stream 的缩写，全称为 “MPEG2-TS”：

MPEG2-TS 传输流（MPEG-2 Transport Stream；又称 MPEG-TS、MTS、TS）是一种标准数字封装格式，用来传输和存储视频、音频与频道、节目信息，应用于数字电视广播系统，如 DVB、ATSC、ISDB [3]:118、IPTV 等。

此外，某些包（例如 “wlwz-2312”）在 JSON 文件中包含普通话字幕。

不得不说这位同学是真的爱看武林外传，武林外传真真就那么好看么，虽然我是不怎么爱看，但还是尝试着去理解这位同学。可能是网盘空间慢了，不想增加容量，又或者是觉得下载速度太慢了，不想开通会员。又或者是TA真的是很喜欢用 npm。

欢迎加入 DevXTalk 的程序员、架构师、IT从业者交流群,在这里你可以和大佬们一起交流分享技术,行业经验,职位内推,摸鱼聊天。总之期待你的加入... 添加我的wx,备注：“进群”拉你进群(群二维码有效时间太短维持不了几天)

「看完本文有收获？转发给更多的朋友吧」

「DevXTalk 不止于技术」

ITPub博客