外部精选
软件工程
#开发者实时流Who's There? 推出免费工具，可在浏览器中列出能向你的 npm 依赖发布代码的账号
来源标题：Show HN: Who can publish to your NPM dependencies?
安全工具 Who's There? 上线，可在浏览器中读取项目的 npm lockfile，列出所有能向该项目依赖发布代码的人。它还会标记可能被攻击者接管的账号，如邮箱域名可被随意购买、新维护者、跳过 CI 的发布、安装时执行代码。扫描无需账号，登录 Google 可选。
Hacker News 最新babdelhadi2026/11/3 · 今天1 分钟阅读
这个来源的 RSS 只提供摘要，下面是原文导语；完整论述请点「打开原文」。
谁在那里？是一款面向软件团队的免费安全工具。它会在你的浏览器中读取项目的 npm lockfile，列出所有能够向该项目依赖项发布代码的人，然后标记出攻击者可能接管的账号：任何人都能购买的维护者邮箱域名、新加入的维护者、跳过 CI 的发布，以及安装时运行的代码。
扫描无需账号。使用 Google 登录是可选的：登录后可以保存项目、监视项目变化并接收提醒。我们仅使用你的姓名、邮箱地址和头像来识别你的账号，绝不会出售或分享这些信息。
本条为导读摘要，完整论述请以原文为准。