使用 DepsGuard 加強您的套件管理器配置

供應鏈攻擊已成為危害現代軟體專案的主要媒介。這些攻擊通常依賴於立即採用惡意的套件版本，或執行不受信任的安裝腳本。雖然套件管理器已引入了一些功能來減輕這些風險——例如發佈版本年齡門檻（release age gates）和腳本阻擋——但在多個工具和儲存庫中配置這些設定是一項繁瑣且手動的過程。

DepsGuard 是一款專門的工具，旨在自動化這些配置的加固過程。它提供了一個統一的介面，用於掃描、審查並針對最受歡迎的套件管理器和依賴項更新機器人（dependency update bots）套用安全建議，確保您的開發環境能夠抵禦常見的供應鏈威脅。

全面的安全覆蓋範圍

DepsGuard 不僅僅檢查單一工具；它提供了您依賴項生態系統的全景視圖。它會掃描多個管理器和自動化工具的配置：

  • JavaScript/TypeScript 生態系統： npm, pnpm, Yarn, 和 Bun。
  • Python 生態系統： uv。
  • 自動化機器人： Renovate 和 Dependabot。

關鍵加固策略

該工具專注於幾個關鍵的安全槓桿：

1. 最低發佈年齡 (Cooldowns)

對抗「全新」惡意發佈版本最有效的防禦手段之一是發佈版本年齡門檻。透過將新套件版本的安裝延遲幾天（通常為 7 天），開發者可以給予社群時間，在惡意代碼到達他們的機器之前進行偵測與回報。 DepsGuard 會檢查如 min-release-age (npm), minimumReleaseAge (pnpm/Renovate), 以及 exclude-newer (uv) 等設定。

2. 阻擋安裝腳本

惡意套件經常使用 preinstall 或 postinstall 腳本來竊取環境變數或安裝後門。DepsGuard 鼓勵使用 ignore-scripts = true 來降低此風險。

3. 進階 pnpm 保護

對於 pnpm 使用者，DepsGuard 會檢查進階的加固功能，包括：

  • block-exotic-subdeps：阻擋不受信任的轉譯依賴項（transitive dependencies）。
  • trust-policy：防止來源證明（provenance）降級。
  • strict-dep-builds：在遇到未經審查的建置腳本時失敗。

工作流程與使用者體驗

DepsGuard 是以 Rust 編寫的單一靜態二進位檔，旨在追求速度與極低的開銷。它具有互動式的終端使用者介面 (TUI)，簡化了加固過程：

  1. 掃描： 該工具會識別使用者層級目錄（例如 ~/.npmrc）和專案層級目錄（從目前路徑向下搜尋）中的現有配置檔。
  2. 審查： 發現結果會以表格形式呈現。使用者可以切換特定的修復選項，並使用篩選器按檔案類型大量選擇配置。
  3. 預覽：在套用任何變更之前，使用者可以查看修改內容的 diff，以確保變更符合預期。
  4. 套用與驗證： 一旦套用，DepsGuard 會自動重新執行掃描，以驗證設定是否已生效。

為了防止意外損壞，該工具會在 ~/.depsguard/backups/ 中為每個修改過的檔案建立帶有時間戳記的備份，並可透過 depsguard restore 指令來還原。

處理緊急安全修補程式

對於發佈版本年齡門檻的一種常見批評是，它們可能會延遲關鍵的安全修補程式。DepsGuard 透過提供如何建立針對特定套件的狹窄例外情況的指南來解決此問題。

與其降低全域性的冷卻時間——這會讓整個專案暴露在風險中——該工具建議使用管理器特定的覆蓋設定。例如，在 Yarn 中，可以使用 YARN_NPM_MINIMAL_AGE_GATE=0s yarn up <pkg>@<ver> 進行一次性繞過，或者將套件加入到 .yarnrc.yml 中的 npmPreapprovedPackages。

技術實作與哲學

從技術角度來看，DepsGuard 遵循嚴格的安全哲學：零第三方 Rust crate 依賴。透過僅依賴標準函式庫以及少量用於終端處理的平台 FFI，該工具將自身的攻擊面最小化，確保用於保護您的依賴項的工具本身不會成為負擔。

社群觀點

雖然該工具因其在設定全域配置方面的實用性而受到高度讚譽，但部分使用者也指出在專案層級的發現功能上存在挑戰。正如一位使用者在在 Hacker News 上提到的：

"the good: it set some values in global config files for me which was handy, the not so good: I still haven't managed to make it find any project-level configs."

儘管如此，大眾的共識是，此類工具對於開發者而言至關重要，因為安全軟體的價值往往是隱形的。 正如另一位使用者所提到的：

"The problem with security tooling is exactly this — you never see the attack you prevented."

透過自動化安全配置中「枯燥」的部分，DepsGuard 幫助開發者從脆弱的預設狀態轉變為加固後的狀態，只需一個指令即可完成。

Sources