Proceset e integrimit të vazhdueshëm (CI) mund të marrin kod keqdashës sapo ai publikohet në PyPI ose npm. Rreziku lind kur sulmuesit komprometojnë llogaritë e mirëmbajtësve ose publikojnë paketa me emra të ngjashëm me ato legjitime. Automatizimi mund t’i shkarkojë dhe ekzekutojë këto versione përpara zbulimit të sulmit.
Një periudhë pritjeje për versionet e reja krijon kohë që publikimet problematike të identifikohen dhe të tërhiqen. Mekanizmi kontrollon skedarët e deklarimit dhe të fiksimit të varësive, duke verifikuar nëse çdo version i fiksuar ka qëndruar në regjistrin publik për numrin minimal të ditëve të kërkuara. Nëse është tepër i ri, kontrolli duhet ta sinjalizojë dhe të rekomandojë një version më të vjetër që plotëson kushtin.
Kontrolli synon të kufizojë ekspozimin ndaj përditësimeve keqdashëse, marrjes nën kontroll të paketave ekzistuese dhe publikimeve me defekte. Sipas tekstit, versionet keqdashëse zakonisht identifikohen dhe tërhiqen brenda pak ditësh, ndaj marrja e menjëhershme e tyre rrit rrezikun për zinxhirin e furnizimit.
Mjeti i paraqitur është një skript Python pa varësi të jashtme. Ai mbështet requirements.txt, package-lock.json, poetry.lock, uv.lock dhe pyproject.toml. Në Python 3.11 e lart përdor modulin tomllib për skedarët TOML; në versione më të hershme përdor një analizues të brendshëm.
Burimi: DEV Community (Web Dev Feed) — lexoni artikullin e plotë në anglisht.
