forum.opennet.ru - "Эксперимент с созданием NPM-пакета, зависимого от всех пакетов в репозитории" (76)

"Эксперимент с созданием NPM-пакета, зависимого от всех пакетов в репозитории"

Форум Разговоры, обсуждение новостей
Вариант для распечатки		Пред. тема \| След. тема
Изначальное сообщение		[ Отслеживать ]

"Эксперимент с созданием NPM-пакета, зависимого от всех пакетов в репозитории"	+/–
Сообщение от opennews (??), 05-Янв-24, 12:34
Один из разработчиков JavaScript-пакетов провёл эксперимент с созданием и размещением в репозитории NPM пакета "everything", который охватывает зависимостями все существующие пакеты в репозитории. Для реализации подобной возможности пакет "everything" связан прямыми зависимостями с пятью пакетами "@everything-registry/chunk-N", которые в свою очередь привязываются зависимостями к более 3000 пакетов "sub-chunk-N", в каждом из которых осуществляется привязка к 800 существующих пакетов в репозитории... Подробнее: https://www.opennet.dev/opennews/art.shtml?num=60392
Ответить \| Правка \| Cообщить модератору

Оглавление

меня всегда удивляло - откуда эти цифры - миллионы пакетов, сотни миллионов загр, Аноним (1), 12:34 , 05-Янв-24, (1) +6

Ci CD, Трэхо (?), 12:35 , 05-Янв-24, (3) +17

Облачные, Аноним (11), 12:55 , 05-Янв-24, (11) –1
криво настроенные CI CD без кэширования зависимостей, Аноним (145), 11:38 , 07-Янв-24, (145)

Миллионы лефтпадов в различныз вариациях , Tron is Whistling (?), 13:01 , 05-Янв-24, (22) +4
Это рутинное дело, а не эксперимент Типичный node_modules Миллионы потому, что , FF (?), 13:17 , 05-Янв-24, (42) +2
В Го по умолчанию, например, есть общий каталог, куда качаются пакеты разных вер, FF (?), 13:21 , 05-Янв-24, (43) +3

Это на машине разработчика такое А в докере не будет этой папки из-за особеннос, jt3k (ok), 13:31 , 09-Янв-24, (157) –1

В докере будет так как вы настроите И он таки будет , Аноним (164), 23:35 , 09-Янв-24, (164)

Там там извините, пакеты из 1-3 строк и то выкладывают , Криптоханыга (?), 16:13 , 05-Янв-24, (63)

Всё правильно делают Раз Node js такоеьговно, что в стандартой библиотеке нет с, Аноним (68), 16:31 , 05-Янв-24, (68) –2

Всё там теперь есть Просто раньше не было вот и наделали обёрток для старых вер, jt3k (ok), 13:32 , 09-Янв-24, (158)

На каждый коммит в CI CD создаётся чистое окружение и туда устанавливаются скач, Витюшка (?), 17:19 , 05-Янв-24, (71) +2

Кеширование тоже устаревшая технология и потому ненужно , Аноним (95), 21:09 , 05-Янв-24, (95) +1

Любой squid в сети установить и данная проблема улетучится Просто недогоняторов, jt3k (ok), 13:36 , 09-Янв-24, (159)

Кэширование делает дай бог один из 10 проектов репозиториев , если не из 100 А, Витюшка (?), 03:48 , 06-Янв-24, (117)

В Js Rust модно делать пакет для каждой васянофункции , banonymous (?), 19:26 , 05-Янв-24, (93) –2

Unix-way же, все правильно делают , ПомидорИзДолины (?), 11:06 , 06-Янв-24, (120) –2

Простенькую функцию как пакет может и нормально, но бардак с зависимостями это п, _kp (ok), 00:36 , 08-Янв-24, (151) +1

Сколько сайтов столько и пакетов в каждом Конечно не все сайты используют пакеты, jt3k (ok), 13:28 , 09-Янв-24, (156)
все атишнеке сидят в united states of murica, Пряник (?), 10:00 , 12-Янв-24, (165)

Уровень , Аноним (5), 12:44 , 05-Янв-24, (5) +8
ШахИ мат , Аноним (6), 12:51 , 05-Янв-24, (6) +20

но это же вроде после истории с лефт-падом, запретили удалять свой гамнокод а, Sw00p aka Jerom (?), 13:41 , 05-Янв-24, (51) +1

Важна не ошибка а реакция на ошибку Уверен они это очень быстро смогут решить , jt3k (ok), 13:39 , 09-Янв-24, (160)

В аду своя жизнь https ru wikipedia org wiki D0 90 D0 B4_ D0 B7 D0 B0 D0 B2 D, Sw00p aka Jerom (?), 14:28 , 09-Янв-24, (162) +1

ПАТждем когда авторам позволят запрещать использовать свой код в качестве зависи, Sw00p aka Jerom (?), 13:46 , 05-Янв-24, (52) +1

Тогда на каждый такой проект появятся тысячи автоматически синхронизируемых форк, ИмяХ (ok), 16:22 , 05-Янв-24, (65) +2

ну запрет на форк никто не отменял , Sw00p aka Jerom (?), 22:53 , 05-Янв-24, (113) +1

Чего-то Gentoo с portage попахивает Будто это повод новость создать какие дурак, Аноним (19), 12:59 , 05-Янв-24, (19) –12

Пожаловаться Сделают для пакета зависимости слотовую установку , Аноним (31), 13:04 , 05-Янв-24, (31)
В плане зависимостей gentoo portage ничем не отличается от любой другой репы и в, Котофалк (?), 18:06 , 05-Янв-24, (75)

Вопрос к специалистам по NPM NPM-репозтории - это репозитории, доступ к заливке, Аноним (27), 13:03 , 05-Янв-24, (27)

Последнее Ну могут добавить какую-то двухфакторку, чтобы от гореразраба, у котор, Аноним (-), 13:07 , 05-Янв-24, (35) +2

Это баг npmа, что он позволил разместить пакет с неразрешёнными зависимостями , Аноним (33), 13:07 , 05-Янв-24, (33) +3
С NPM не пересекаюсь, а тут друг спрашивает Можно использовать в имени требуем, Тот_ещё_аноним (ok), 13:11 , 05-Янв-24, (39) +3

Нельзя, Аноним (55), 14:09 , 05-Янв-24, (55) +3

СпасибоЖаль, было бы эпично , Тот_ещё_аноним (ok), 01:21 , 06-Янв-24, (116) +3
Надо смотреть в исходники, чтобы такое утверждать Возможно и можно , jt3k (ok), 13:45 , 09-Янв-24, (161)

Пороть за такие эксперементы Разработчик пакетов Это что-то новое , Аноньимъ (ok), 13:12 , 05-Янв-24, (40) +4

Почему пороть Хотите чтобы этот прикольный эффект так и остался security by obs, scriptkiddis (?), 16:30 , 05-Янв-24, (67) +1

Потому что не надо ссать в солонки , warlock66613 (ok), 14:11 , 06-Янв-24, (124)

Тебе лично в солонку нассали Как на тебе это отразилось , Аноним (132), 16:58 , 06-Янв-24, (132) –1

Он же разработал именно пакет и даже применил знания из области структур данных,, Аноним (108), 21:52 , 05-Янв-24, (108) +4

Хакер и директор столовой, Аноним (44), 13:27 , 05-Янв-24, (44) +4
В NixOS рарзабы в документацию такую же бомбу положили https github com NixOS , Аноним (48), 13:38 , 05-Янв-24, (48)

Ха Лучше apt apk rpm ещё ничего не придумали , Golangdev (?), 00:30 , 07-Янв-24, (137) +1

На разных уровнях работают dpkg и rpm, тогда уж, Аноним (148), 20:13 , 07-Янв-24, (148)

Введут ограничение на кол-во зависимостей Больше по подписке Скриньте , Вы забыли заполнить поле Name (?), 14:26 , 05-Янв-24, (58) +3

Больше 42 зависимости можно указывать только после KYC, Аноним (108), 21:49 , 05-Янв-24, (107) +3
Ну будет не 5 пакетов chunk-N, а 50 пакетов chunk-N Если не поможет, то добавят, fuggy (ok), 23:49 , 06-Янв-24, (135)

И это самый standalone пакет в репозитории npm , Аноним (59), 15:23 , 05-Янв-24, (59) +1
Да это всё фигня, вы представьте какие лулзы автор эксплойта словит от введённых, ZloySergant (ok), 15:26 , 05-Янв-24, (60) +3
Хакер и солонка в чистом виде , Аноним (61), 15:48 , 05-Янв-24, (61) +3

Да надоели вы со своими умными именно в кавычках историями Проблема решается, Аноним (70), 16:37 , 05-Янв-24, (70) +3

Хакер устраивается на фабрику, производящую пакеты с солью сахаром Хотя зачем фа, Аноним (132), 16:48 , 06-Янв-24, (129) +1

Делает пластическую операцию, покупает поддельные документы, учится говорить с а, 78 (?), 17:17 , 06-Янв-24, (133)

История очень даже умная, только мало кто умные выводы из неё делает вот юзер 7, Аноним (149), 22:07 , 07-Янв-24, (149)

кто-нить в курсе всяко-разные cratesы и голангорги по тем же принципам работают, Аноним (76), 18:09 , 05-Янв-24, (76) +1

Насколько я знаю повторить NPM с его приколами типа исполнение произвольного с, Аноним (140), 02:37 , 07-Янв-24, (140)

Второй закон Вейнберга если бы строители строили здания так же, как программист, beck (??), 18:35 , 05-Янв-24, (79) –2

Не правда, everything-else бы не дал ей разрушится, Аноним (108), 21:46 , 05-Янв-24, (105) +3

Тот случай, когда твой датацентр начинает подлагивать и уже пора задуматься о по, Аноним (11), 19:09 , 05-Янв-24, (81)
Таким образом тип провел DoS атаку на NPM, удостоверившись что теперь авторы воо, Аноним (-), 20:04 , 05-Янв-24, (94)
Т е получилась циклическая зависимость , Аноним (108), 21:45 , 05-Янв-24, (104) +2
Хорошая шутка , Аноним (106), 21:48 , 05-Янв-24, (106) +1
NPM на сегодняшний день, это наверное самый эффективный способ засрать себе файл, Аноним (115), 00:55 , 06-Янв-24, (115) +1

Почему Какие у тебя проблемы , Аноним (132), 16:55 , 06-Янв-24, (131)

Яваскриптерам оказывается не чуждо чувство юмора , Псевдонимус (?), 18:57 , 06-Янв-24, (134) +3
Размещение бывает с дамами лёгкого поведения в сауне, а здесь - публикация , Golangdev (?), 00:27 , 07-Янв-24, (136) –2

Вот за что люблю местных экспертов, так это за их богатый жизненный опыт , Вы забыли заполнить поле Name (?), 01:00 , 07-Янв-24, (138) +8

Всегда рад помочь, обращайтесь , Golangdev (?), 06:16 , 07-Янв-24, (144)

Скрыто модератором, Аноним (-), 19:15 , 07-Янв-24, (147) +1

Получается можно публиковать пакет с зависимостями от несуществующих пакетов , Вы забыли заполнить поле Name (?), 02:43 , 07-Янв-24, (141)
Наглядный пример гнилой системы зависимостей, не отражающей фактические зависимо, _kp (ok), 00:30 , 08-Янв-24, (150)
кто все эти люди и что за дичь они творят, crypt (ok), 19:31 , 09-Янв-24, (163)

Сообщения [Сортировка по ответам | RSS]

1. Сообщение от Аноним (1), 05-Янв-24, 12:34 +6 +/–

меня всегда удивляло - откуда эти цифры - миллионы пакетов, сотни миллионов загрузок чего-то за месяц - неужели этот нпм так популярен? - откуда на планете вообще столько итишников взялось

Ответить | Правка | Наверх | Cообщить модератору
Ответы: #3, #22, #42, #43, #63, #71, #93, #156, #165

3. Сообщение от Трэхо (?), 05-Янв-24, 12:35 +17 +/–

Ci/CD

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #1 Ответы: #11, #145

5. Сообщение от Аноним (5), 05-Янв-24, 12:44 +8 +/–

Уровень.

Ответить | Правка | Наверх | Cообщить модератору

6. Сообщение от Аноним (6), 05-Янв-24, 12:51 +20 +/–

>Пакет из NPM может быть удалён автором только если он ещё не >используется в зависимостях других пакетов, но после публикации >"everything" зависимостями оказались охвачены все пакеты в >репозитории.
Шах
>Примечательно, что удаление самого пакета "everything" также оказалось >заблокированным, так как 9 лет назад в репозитории был размещён >тестовый пакет "everything-else", в котором была указана строка >"everything" в списке зависимостей. Таким образом, пакет "everything" >после публикации оказался в зависимостях у другого пакета.
И мат!

Ответить | Правка | Наверх | Cообщить модератору
Ответы: #51, #52

11. Сообщение от Аноним (11), 05-Янв-24, 12:55 –1 +/–

Облачные

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #3

19. Сообщение от Аноним (19), 05-Янв-24, 12:59 –12 +/–

Чего-то Gentoo с portage попахивает. Будто это повод новость создать какие дураки бывают.
В генте тоже можно новичку вдуплять на тему что делать когда обновление требует обновить зависимость, но другой пакет гвоздями прибит к этой версии зависимости.

Ответить | Правка | Наверх | Cообщить модератору
Ответы: #31, #75

22. Сообщение от Tron is Whistling (?), 05-Янв-24, 13:01 +4 +/–

Миллионы лефтпадов в различныз вариациях.

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #1

27. Сообщение от Аноним (27), 05-Янв-24, 13:03 +/–

Вопрос к специалистам по NPM. NPM-репозтории - это репозитории, доступ к заливке только у его хозяев (в смысле, создателя этого сервиса), или любой Васян может залить туда вирус? Или же хозяева сами туда заливают вирусы? Получается, хозяева NPM репозитория днём и ночью пьют кефир и проверяют залитые пакеты от Васянов на вирусы? Или им пох.?

Ответить | Правка | Наверх | Cообщить модератору
Ответы: #35

31. Сообщение от Аноним (31), 05-Янв-24, 13:04 +/–

Пожаловаться. Сделают для пакета зависимости слотовую установку.

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #19

33. Сообщение от Аноним (33), 05-Янв-24, 13:07 +3 +/–

>Примечательно, что удаление самого пакета "everything" также оказалось заблокированным, так как 9 лет назад в репозитории был размещён тестовый пакет "everything-else", в котором была указана строка "everything" в списке зависимостей. Таким образом, пакет "everything" после публикации оказался в зависимостях у другого пакета.
Это баг npmа, что он позволил разместить пакет с неразрешёнными зависимостями.

Ответить | Правка | Наверх | Cообщить модератору

35. Сообщение от Аноним (-), 05-Янв-24, 13:07 +2 +/–

> Или им пох.?
Последнее)
Ну могут добавить какую-то двухфакторку, чтобы от гореразраба, у которого один пароль на все сервисы, не заливали всякую чушню.
От намеренной диверсии это не спасет, так же как и не спасет от заливки в репу вредноносного кода.
Мало кто проверяет все изменения при обнолении программы.

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #27

39. Сообщение от Тот_ещё_аноним (ok), 05-Янв-24, 13:11 +3 +/–

С NPM не пересекаюсь, а тут друг спрашивает...
Можно использовать в имени требуемого пакета "*" или "?"? Чтоб не "everything1" & "everything2", а "everything?" или "everything*"

Ответить | Правка | Наверх | Cообщить модератору
Ответы: #55

40. Сообщение от Аноньимъ (ok), 05-Янв-24, 13:12 +4 +/–

Пороть за такие "эксперементы".
> Один из разработчиков JavaScript-пакетов
Разработчик пакетов? Это что-то новое.

Ответить | Правка | Наверх | Cообщить модератору
Ответы: #67, #108

42. Сообщение от FF (?), 05-Янв-24, 13:17 +2 +/–

Это рутинное дело, а не эксперимент. Типичный node_modules.
Миллионы потому, что npm install и npm audit fix, постоянно надо всю гроздь обновлять, и вместо разработки фич заниматься адаптацией после обновы.

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #1

43. Сообщение от FF (?), 05-Янв-24, 13:21 +3 +/–

В Го по умолчанию, например, есть общий каталог, куда качаются пакеты разных версий для всех проектов пользователя. А тут для каждого, например, примера из урока, надо выгружать тысячи пакетов, но это по умолчанию если из-за вебпак, sass и т.п.

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #1 Ответы: #157

44. Сообщение от Аноним (44), 05-Янв-24, 13:27 +4 +/–

Хакер и директор столовой

Ответить | Правка | Наверх | Cообщить модератору

48. Сообщение от Аноним (48), 05-Янв-24, 13:38 +/–

В NixOS рарзабы в документацию такую же бомбу положили.
https://github.com/NixOS/nix/issues/308
Вот тут они пишут "running nix-env -i again" Эта бомба установит всё подряд.
https://nmikhailov.github.io/nixpkgs/index.html#sec-ad-hoc-p...

Ответить | Правка | Наверх | Cообщить модератору
Ответы: #137

51. Сообщение от Sw00p aka Jerom (?), 05-Янв-24, 13:41 +1 +/–

>Шах
но это же вроде после истории с лефт-падом, запретили удалять свой гамнокод :) а когда нет возможности его удалить, то и со временем в нем можно утонуть, как показал эксперимент :))
>И мат!
когда связываешся с гамном, будь готов поплавать в нем :)

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #6 Ответы: #160

52. Сообщение от Sw00p aka Jerom (?), 05-Янв-24, 13:46 +1 +/–

ПАТ
ждем когда авторам позволят запрещать использовать свой код в качестве зависимости в других пакетах, что собственно равносильно вернуть возможность удаления пакета:)
хотя из этого порочного круга можно выйти, и устанавливать галочку запрета единожды при регистрации нового пакета. И тогда ничего ломаться не будет, ибо никто в зависимости не потащит.

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #6 Ответы: #65

55. Сообщение от Аноним (55), 05-Янв-24, 14:09 +3 +/–

Нельзя

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #39 Ответы: #116, #161

58. Сообщение от Вы забыли заполнить поле Name (?), 05-Янв-24, 14:26 +3 +/–

Введут ограничение на кол-во зависимостей. Больше по подписке. Скриньте.

Ответить | Правка | Наверх | Cообщить модератору
Ответы: #107, #135

59. Сообщение от Аноним (59), 05-Янв-24, 15:23 +1 +/–

> пакет "everything" связан прямыми зависимостями с пятью пакетами
> которые в свою очередь привязываются зависимостями к более 3000 пакетов
> в каждом из которых осуществляется привязка к 800 существующих пакетов.
И это самый standalone пакет в репозитории npm.

Ответить | Правка | Наверх | Cообщить модератору

60. Сообщение от ZloySergant (ok), 05-Янв-24, 15:26 +3 +/–

Да это всё фигня, вы представьте какие лулзы автор эксплойта словит от введённых костылей, либо от позиции "всем пох".

Ответить | Правка | Наверх | Cообщить модератору

61. Сообщение от Аноним (61), 05-Янв-24, 15:48 +3 +/–

Хакер и солонка в чистом виде!

Ответить | Правка | Наверх | Cообщить модератору
Ответы: #70

63. Сообщение от Криптоханыга (?), 05-Янв-24, 16:13 +/–

Там там извините, "пакеты" из 1-3 строк и то выкладывают...

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #1 Ответы: #68

65. Сообщение от ИмяХ (ok), 05-Янв-24, 16:22 +2 +/–

Тогда на каждый такой проект появятся тысячи автоматически синхронизируемых форков, что ещё больше раздует базу пакетов

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #52 Ответы: #113

67. Сообщение от scriptkiddis (?), 05-Янв-24, 16:30 +1 +/–

Почему пороть? Хотите чтобы этот прикольный эффект так и остался security by obscurity? Лицемерненько не?

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #40 Ответы: #124

68. Сообщение от Аноним (68), 05-Янв-24, 16:31 –2 +/–

Всё правильно делают. Раз Node.js такоеьговно, что в стандартой библиотеке нет самых базовых вещей, то приходится делать свою стандартную библиотеку.

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #63 Ответы: #158

70. Сообщение от Аноним (70), 05-Янв-24, 16:37 +3 +/–

Да надоели вы со своими "умными" (именно в кавычках) историями.
Проблема решается путём выдачи соли\сахара в одноразовом пакете.

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #61 Ответы: #129, #149

71. Сообщение от Витюшка (?), 05-Янв-24, 17:19 +2 +/–

На каждый коммит в CI/CD создаётся чистое окружение и туда устанавливаются (скачиваются) в зависимости с нуля (из npm) чтобы собрать пакет/проект/приложение.
Так делают многие, если не большинство. Вот оттуда)

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #1 Ответы: #95, #117

75. Сообщение от Котофалк (?), 05-Янв-24, 18:06 +/–

В плане зависимостей gentoo portage ничем не отличается от любой другой репы и всё зависит от мейнтейнеров. Для новичка в gentoo проблема в том, что он про зависимости не знает-не понимает (и, возможно, ни знать, ни понимать и не хочет), а от него требуется установка флагов с пониманием зависимостей.

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #19

76. Сообщение от Аноним (76), 05-Янв-24, 18:09 +1 +/–

кто-нить в курсе: всяко-разные cratesы и голангорги по тем же принципам работают, что и npm?

Ответить | Правка | Наверх | Cообщить модератору
Ответы: #140

79. Сообщение от beck (??), 05-Янв-24, 18:35 –2 +/–

Второй закон Вейнберга: если бы строители строили здания так же, как программисты пишут программы, первый залетевший дятел разрушил бы цивилизацию.

Ответить | Правка | Наверх | Cообщить модератору
Ответы: #105

81. Сообщение от Аноним (11), 05-Янв-24, 19:09 +/–

Тот случай, когда твой датацентр начинает подлагивать и уже пора задуматься о покупке нового

Ответить | Правка | Наверх | Cообщить модератору

93. Сообщение от banonymous (?), 05-Янв-24, 19:26 –2 +/–

В Js/Rust модно делать пакет для каждой васянофункции.

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #1 Ответы: #120

94. Сообщение от Аноним (-), 05-Янв-24, 20:04 +/–

> Таким образом, пакет "everything" после публикации оказался
> в зависимостях у другого пакета.
Таким образом тип провел DoS атаку на NPM, удостоверившись что теперь авторы вообще не смогут удалять пакеты. Вот уж что написано пером, не вырубишь топором!

Ответить | Правка | Наверх | Cообщить модератору

95. Сообщение от Аноним (95), 05-Янв-24, 21:09 +1 +/–

Кеширование тоже устаревшая технология и потому ненужно?

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #71 Ответы: #159

104. Сообщение от Аноним (108), 05-Янв-24, 21:45 +2 +/–

> Примечательно, что удаление самого пакета "everything" также оказалось заблокированным, так как 9 лет назад в репозитории был размещён тестовый пакет "everything-else", в котором была указана строка "everything" в списке зависимостей. Таким образом, пакет "everything" после публикации оказался в зависимостях у другого пакета.
Т.е. получилась циклическая зависимость?

Ответить | Правка | Наверх | Cообщить модератору

105. Сообщение от Аноним (108), 05-Янв-24, 21:46 +3 +/–

Не правда, everything-else бы не дал ей разрушится

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #79

106. Сообщение от Аноним (106), 05-Янв-24, 21:48 +1 +/–

Хорошая шутка.

Ответить | Правка | Наверх | Cообщить модератору

107. Сообщение от Аноним (108), 05-Янв-24, 21:49 +3 +/–

Больше 42 зависимости можно указывать только после KYC

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #58

108. Сообщение от Аноним (108), 05-Янв-24, 21:52 +4 +/–

Он же разработал именно пакет и даже применил знания из области структур данных, размазав всё по дереву. Разработчик позаботился о масштабируемости проекта. Так что всё корректно

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #40

113. Сообщение от Sw00p aka Jerom (?), 05-Янв-24, 22:53 +1 +/–

> Тогда на каждый такой проект появятся тысячи автоматически синхронизируемых форков, что
> ещё больше раздует базу пакетов
ну запрет на форк никто не отменял :)

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #65

115. Сообщение от Аноним (115), 06-Янв-24, 00:55 +1 +/–

NPM на сегодняшний день, это наверное самый эффективный способ засрать себе файловую систему.

Ответить | Правка | Наверх | Cообщить модератору
Ответы: #131

116. Сообщение от Тот_ещё_аноним (ok), 06-Янв-24, 01:21 +3 +/–

Спасибо
Жаль, было бы эпично)

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #55

117. Сообщение от Витюшка (?), 06-Янв-24, 03:48 +/–

Кэширование делает дай бог один из 10 проектов (репозиториев), если не из 100. А если учитывать все hello world с гитхаба...

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #71

120. Сообщение от ПомидорИзДолины (?), 06-Янв-24, 11:06 –2 +/–

Unix-way же, все правильно делают.

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #93 Ответы: #151

124. Сообщение от warlock66613 (ok), 06-Янв-24, 14:11 +/–

Потому что не надо ссать в солонки.

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #67 Ответы: #132

129. Сообщение от Аноним (132), 06-Янв-24, 16:48 +1 +/–

Хакер устраивается на фабрику, производящую пакеты с солью/сахаром.
Хотя зачем фантазировать - про иглы в клубнике в Австралии мегаумный айтишник не слышал?

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #70 Ответы: #133

131. Сообщение от Аноним (132), 06-Янв-24, 16:55 +/–

Почему? Какие у тебя проблемы?

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #115

132. Сообщение от Аноним (132), 06-Янв-24, 16:58 –1 +/–

Тебе лично в солонку нассали? Как на тебе это отразилось?

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #124

133. Сообщение от 78 (?), 06-Янв-24, 17:17 +/–

Делает пластическую операцию, покупает поддельные документы, учится говорить с акцентом какой-нибудь провинции, ломает ногу чтобы натурально хромать, и только ради того чтобы нассать комуто в чай.
А не проще у подьезда с ножом подкараулить? если уж очень хочется комуто нагдить.
Если бы среди людей было много тех кто желает нагадить кому угодно, просто ради того что желает, эволюция придумала бы алгоритм отсева, или люди вымерли бы, ну это же просто.
А отдельные фрики ни на что повлиять не могут, если конечно их не слушать, что сейчас происходит с меньшинствами, даже если такой фрик взорвет АЭС ну одной зоной отчуждения больше одной меньше.
Пилоты самолетов тоже роняли пассажирские лайнеры изза несчастной любви, ну и просто запретили экипажу оставлять в кабине кого-то одного, и проблема исчезла.

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #129

134. Сообщение от Псевдонимус (?), 06-Янв-24, 18:57 +3 +/–

Яваскриптерам оказывается не чуждо чувство юмора.

Ответить | Правка | Наверх | Cообщить модератору

135. Сообщение от fuggy (ok), 06-Янв-24, 23:49 +/–

Ну будет не 5 пакетов chunk-N, а 50 пакетов chunk-N. Если не поможет, то добавят 3 уровень. А от ограничения количества пострадают в основном любители лефтпадов, которые каждую функцию в свой пакет формируют.

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #58

136. Сообщение от Golangdev (?), 07-Янв-24, 00:27 –2 +/–

> Размещение "everything"
"Размещение" бывает с *дамами лёгкого поведения* в сауне, а здесь - публикация. Публикация, не "размещение".

Ответить | Правка | Наверх | Cообщить модератору
Ответы: #138, #147

137. Сообщение от Golangdev (?), 07-Янв-24, 00:30 +1 +/–

Ха!
Лучше apt / apk / rpm ещё ничего не придумали.

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #48 Ответы: #148

138. Сообщение от Вы забыли заполнить поле Name (?), 07-Янв-24, 01:00 +8 +/–

> "Размещение" бывает с *дамами лёгкого поведения* в сауне, а здесь - публикация. Публикация, не "размещение".
Вот за что люблю местных экспертов, так это за их богатый жизненный опыт.

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #136 Ответы: #144

140. Сообщение от Аноним (140), 07-Янв-24, 02:37 +/–

Насколько я знаю: повторить NPM с его приколами (типа исполнение произвольного скрипта при установке) ещё никто не решился...

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #76

141. Сообщение от Вы забыли заполнить поле Name (?), 07-Янв-24, 02:43 +/–

> Примечательно, что удаление самого пакета "everything" также оказалось заблокированным, так как 9 лет назад в репозитории был размещён тестовый пакет "everything-else", в котором была указана строка "everything" в списке зависимостей.
Получается можно публиковать пакет с зависимостями от несуществующих пакетов?

Ответить | Правка | Наверх | Cообщить модератору

144. Сообщение от Golangdev (?), 07-Янв-24, 06:16 +/–

Всегда рад помочь, обращайтесь!

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #138

145. Сообщение от Аноним (145), 07-Янв-24, 11:38 +/–

*криво настроенные CI/CD без кэширования зависимостей

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #3

147. Сообщение от Аноним (-), 07-Янв-24, 19:15 +1 +/–

Публикация -- это вступление в должность в публичном доме.

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #136

148. Сообщение от Аноним (148), 07-Янв-24, 20:13 +/–

> apt
> rpm
На разных уровнях работают; dpkg и rpm, тогда уж

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #137

149. Сообщение от Аноним (149), 07-Янв-24, 22:07 +/–

История очень даже умная, только мало кто умные выводы из неё делает (вот юзер 78 ниже сделал).

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #70

150. Сообщение от _kp (ok), 08-Янв-24, 00:30 +/–

Наглядный пример гнилой системы зависимостей, не отражающей фактические зависимости вообще.
А влючение в зависимости не только не существующих пакетов, но и реальных, но не используемых уже маразм.
Тут или всю систему менять, или раздувать дальше маразм ради маразма.

Ответить | Правка | Наверх | Cообщить модератору

151. Сообщение от _kp (ok), 08-Янв-24, 00:36 +1 +/–

Простенькую функцию как пакет может и нормально, но бардак с зависимостями это проблемы репозитория.
Не должно быть даже возможности включения в зависимости, того, что не используется, или не обязательно.
Ps: впрочем, множество мелких пакетов, даже без зависимостей, заспамливают репозитории.

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #120

156. Сообщение от jt3k (ok), 09-Янв-24, 13:28 +/–

Сколько сайтов столько и пакетов в каждом.
Конечно не все сайты используют пакеты нпм. Но есть команда которые создают собственные пакеты которые в свою очередь используют другие пакеты из нпм. Любой ci конвеер за неимением кеш-состояния выкачивает нпм пакеты заново из нпм.
Это может быть просто зацикленная труба тестирования внутри которой докер качает из нпма себе зависимости для работы приложения.
Нпм популярен. Жабаскрипт ведь везде.

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #1

157. Сообщение от jt3k (ok), 09-Янв-24, 13:31 –1 +/–

> В Го по умолчанию, например, есть общий каталог, куда качаются пакеты разных
> версий для всех проектов пользователя.
Это на машине разработчика такое. А в докере не будет этой папки из-за особенностей его работы и из-за безопасности возможно или сложности реализации)

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #43 Ответы: #164

158. Сообщение от jt3k (ok), 09-Янв-24, 13:32 +/–

> Всё правильно делают. Раз Node.js такоеьговно, что в стандартой библиотеке нет самых
> базовых вещей, то приходится делать свою стандартную библиотеку.
Всё там теперь есть. Просто раньше не было вот и наделали обёрток для старых версий

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #68

159. Сообщение от jt3k (ok), 09-Янв-24, 13:36 +/–

> Кеширование тоже устаревшая технология и потому ненужно?
Любой squid в сети установить и данная проблема улетучится. Просто недогоняторов много развелось

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #95

160. Сообщение от jt3k (ok), 09-Янв-24, 13:39 +/–

> когда связываешся с гамном, будь готов поплавать в нем :)
Важна не ошибка а реакция на ошибку. Уверен они это очень быстро смогут решить. Сообщество ведь живое. Ждём новостей. Лефтпад меньше недели провалялся анпаблишным в нпм.)

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #51 Ответы: #162

161. Сообщение от jt3k (ok), 09-Янв-24, 13:45 +/–

> Нельзя
Надо смотреть в исходники, чтобы такое утверждать. Возможно и можно)

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #55

162. Сообщение от Sw00p aka Jerom (?), 09-Янв-24, 14:28 +1 +/–

> Сообщество ведь живое.
В аду своя жизнь!
https://ru.wikipedia.org/wiki/%D0%90%D0%...

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #160

163. Сообщение от crypt (ok), 09-Янв-24, 19:31 +/–

кто все эти люди и что за дичь они творят

Ответить | Правка | Наверх | Cообщить модератору

164. Сообщение от Аноним (164), 09-Янв-24, 23:35 +/–

В докере будет так как вы настроите. И он таки будет.

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #157

165. Сообщение от Пряник (?), 12-Янв-24, 10:00 +/–

все атишнеке сидят в united states of murica

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #1

Архив | Удалить

Рекомендовать для помещения в FAQ | Индекс форумов | Темы | Пред. тема | След. тема

Партнёры:

Хостинг:

Закладки на сайте
Проследить за страницей

Created 1996-2025 by Maxim Chirkov
Добавить, Поддержать, Вебмастеру

1. Сообщение от Аноним (1), 05-Янв-24, 12:34	+6 +/–
меня всегда удивляло - откуда эти цифры - миллионы пакетов, сотни миллионов загрузок чего-то за месяц - неужели этот нпм так популярен? - откуда на планете вообще столько итишников взялось
Ответить \| Правка \| Наверх \| Cообщить модератору
Ответы: #3, #22, #42, #43, #63, #71, #93, #156, #165

3. Сообщение от Трэхо (?), 05-Янв-24, 12:35	+17 +/–
Ci/CD
Ответить \| Правка \| Наверх \| Cообщить модератору
Родитель: #1 Ответы: #11, #145

5. Сообщение от Аноним (5), 05-Янв-24, 12:44	+8 +/–
Уровень.
Ответить \| Правка \| Наверх \| Cообщить модератору

6. Сообщение от Аноним (6), 05-Янв-24, 12:51	+20 +/–
>Пакет из NPM может быть удалён автором только если он ещё не >используется в зависимостях других пакетов, но после публикации >"everything" зависимостями оказались охвачены все пакеты в >репозитории. Шах >Примечательно, что удаление самого пакета "everything" также оказалось >заблокированным, так как 9 лет назад в репозитории был размещён >тестовый пакет "everything-else", в котором была указана строка >"everything" в списке зависимостей. Таким образом, пакет "everything" >после публикации оказался в зависимостях у другого пакета. И мат!
Ответить \| Правка \| Наверх \| Cообщить модератору
Ответы: #51, #52

11. Сообщение от Аноним (11), 05-Янв-24, 12:55	–1 +/–
Облачные
Ответить \| Правка \| Наверх \| Cообщить модератору
Родитель: #3

19. Сообщение от Аноним (19), 05-Янв-24, 12:59	–12 +/–
Чего-то Gentoo с portage попахивает. Будто это повод новость создать какие дураки бывают. В генте тоже можно новичку вдуплять на тему что делать когда обновление требует обновить зависимость, но другой пакет гвоздями прибит к этой версии зависимости.
Ответить \| Правка \| Наверх \| Cообщить модератору
Ответы: #31, #75

22. Сообщение от Tron is Whistling (?), 05-Янв-24, 13:01	+4 +/–
Миллионы лефтпадов в различныз вариациях.
Ответить \| Правка \| Наверх \| Cообщить модератору
Родитель: #1

27. Сообщение от Аноним (27), 05-Янв-24, 13:03	+/–
Вопрос к специалистам по NPM. NPM-репозтории - это репозитории, доступ к заливке только у его хозяев (в смысле, создателя этого сервиса), или любой Васян может залить туда вирус? Или же хозяева сами туда заливают вирусы? Получается, хозяева NPM репозитория днём и ночью пьют кефир и проверяют залитые пакеты от Васянов на вирусы? Или им пох.?
Ответить \| Правка \| Наверх \| Cообщить модератору
Ответы: #35

31. Сообщение от Аноним (31), 05-Янв-24, 13:04	+/–
Пожаловаться. Сделают для пакета зависимости слотовую установку.
Ответить \| Правка \| Наверх \| Cообщить модератору
Родитель: #19

33. Сообщение от Аноним (33), 05-Янв-24, 13:07	+3 +/–
>Примечательно, что удаление самого пакета "everything" также оказалось заблокированным, так как 9 лет назад в репозитории был размещён тестовый пакет "everything-else", в котором была указана строка "everything" в списке зависимостей. Таким образом, пакет "everything" после публикации оказался в зависимостях у другого пакета. Это баг npmа, что он позволил разместить пакет с неразрешёнными зависимостями.
Ответить \| Правка \| Наверх \| Cообщить модератору

35. Сообщение от Аноним (-), 05-Янв-24, 13:07	+2 +/–
> Или им пох.? Последнее) Ну могут добавить какую-то двухфакторку, чтобы от гореразраба, у которого один пароль на все сервисы, не заливали всякую чушню. От намеренной диверсии это не спасет, так же как и не спасет от заливки в репу вредноносного кода. Мало кто проверяет все изменения при обнолении программы.
Ответить \| Правка \| Наверх \| Cообщить модератору
Родитель: #27

39. Сообщение от Тот_ещё_аноним (ok), 05-Янв-24, 13:11	+3 +/–
С NPM не пересекаюсь, а тут друг спрашивает... Можно использовать в имени требуемого пакета "" или "?"? Чтоб не "everything1" & "everything2", а "everything?" или "everything"
Ответить \| Правка \| Наверх \| Cообщить модератору
Ответы: #55

40. Сообщение от Аноньимъ (ok), 05-Янв-24, 13:12	+4 +/–
Пороть за такие "эксперементы". > Один из разработчиков JavaScript-пакетов Разработчик пакетов? Это что-то новое.
Ответить \| Правка \| Наверх \| Cообщить модератору
Ответы: #67, #108

42. Сообщение от FF (?), 05-Янв-24, 13:17	+2 +/–
Это рутинное дело, а не эксперимент. Типичный node_modules. Миллионы потому, что npm install и npm audit fix, постоянно надо всю гроздь обновлять, и вместо разработки фич заниматься адаптацией после обновы.
Ответить \| Правка \| Наверх \| Cообщить модератору
Родитель: #1

43. Сообщение от FF (?), 05-Янв-24, 13:21	+3 +/–
В Го по умолчанию, например, есть общий каталог, куда качаются пакеты разных версий для всех проектов пользователя. А тут для каждого, например, примера из урока, надо выгружать тысячи пакетов, но это по умолчанию если из-за вебпак, sass и т.п.
Ответить \| Правка \| Наверх \| Cообщить модератору
Родитель: #1 Ответы: #157

44. Сообщение от Аноним (44), 05-Янв-24, 13:27	+4 +/–
Хакер и директор столовой
Ответить \| Правка \| Наверх \| Cообщить модератору

48. Сообщение от Аноним (48), 05-Янв-24, 13:38	+/–
В NixOS рарзабы в документацию такую же бомбу положили. https://github.com/NixOS/nix/issues/308 Вот тут они пишут "running nix-env -i again" Эта бомба установит всё подряд. https://nmikhailov.github.io/nixpkgs/index.html#sec-ad-hoc-p...
Ответить \| Правка \| Наверх \| Cообщить модератору
Ответы: #137

51. Сообщение от Sw00p aka Jerom (?), 05-Янв-24, 13:41	+1 +/–
>Шах но это же вроде после истории с лефт-падом, запретили удалять свой гамнокод :) а когда нет возможности его удалить, то и со временем в нем можно утонуть, как показал эксперимент :)) >И мат! когда связываешся с гамном, будь готов поплавать в нем :)
Ответить \| Правка \| Наверх \| Cообщить модератору
Родитель: #6 Ответы: #160

52. Сообщение от Sw00p aka Jerom (?), 05-Янв-24, 13:46	+1 +/–
ПАТ ждем когда авторам позволят запрещать использовать свой код в качестве зависимости в других пакетах, что собственно равносильно вернуть возможность удаления пакета:) хотя из этого порочного круга можно выйти, и устанавливать галочку запрета единожды при регистрации нового пакета. И тогда ничего ломаться не будет, ибо никто в зависимости не потащит.
Ответить \| Правка \| Наверх \| Cообщить модератору
Родитель: #6 Ответы: #65

55. Сообщение от Аноним (55), 05-Янв-24, 14:09	+3 +/–
Нельзя
Ответить \| Правка \| Наверх \| Cообщить модератору
Родитель: #39 Ответы: #116, #161

58. Сообщение от Вы забыли заполнить поле Name (?), 05-Янв-24, 14:26	+3 +/–
Введут ограничение на кол-во зависимостей. Больше по подписке. Скриньте.
Ответить \| Правка \| Наверх \| Cообщить модератору
Ответы: #107, #135

59. Сообщение от Аноним (59), 05-Янв-24, 15:23	+1 +/–
> пакет "everything" связан прямыми зависимостями с пятью пакетами > которые в свою очередь привязываются зависимостями к более 3000 пакетов > в каждом из которых осуществляется привязка к 800 существующих пакетов. И это самый standalone пакет в репозитории npm.
Ответить \| Правка \| Наверх \| Cообщить модератору

60. Сообщение от ZloySergant (ok), 05-Янв-24, 15:26	+3 +/–
Да это всё фигня, вы представьте какие лулзы автор эксплойта словит от введённых костылей, либо от позиции "всем пох".
Ответить \| Правка \| Наверх \| Cообщить модератору

61. Сообщение от Аноним (61), 05-Янв-24, 15:48	+3 +/–
Хакер и солонка в чистом виде!
Ответить \| Правка \| Наверх \| Cообщить модератору
Ответы: #70

63. Сообщение от Криптоханыга (?), 05-Янв-24, 16:13	+/–
Там там извините, "пакеты" из 1-3 строк и то выкладывают...
Ответить \| Правка \| Наверх \| Cообщить модератору
Родитель: #1 Ответы: #68

65. Сообщение от ИмяХ (ok), 05-Янв-24, 16:22	+2 +/–
Тогда на каждый такой проект появятся тысячи автоматически синхронизируемых форков, что ещё больше раздует базу пакетов
Ответить \| Правка \| Наверх \| Cообщить модератору
Родитель: #52 Ответы: #113

67. Сообщение от scriptkiddis (?), 05-Янв-24, 16:30	+1 +/–
Почему пороть? Хотите чтобы этот прикольный эффект так и остался security by obscurity? Лицемерненько не?
Ответить \| Правка \| Наверх \| Cообщить модератору
Родитель: #40 Ответы: #124

68. Сообщение от Аноним (68), 05-Янв-24, 16:31	–2 +/–
Всё правильно делают. Раз Node.js такоеьговно, что в стандартой библиотеке нет самых базовых вещей, то приходится делать свою стандартную библиотеку.
Ответить \| Правка \| Наверх \| Cообщить модератору
Родитель: #63 Ответы: #158

70. Сообщение от Аноним (70), 05-Янв-24, 16:37	+3 +/–
Да надоели вы со своими "умными" (именно в кавычках) историями. Проблема решается путём выдачи соли\сахара в одноразовом пакете.
Ответить \| Правка \| Наверх \| Cообщить модератору
Родитель: #61 Ответы: #129, #149

71. Сообщение от Витюшка (?), 05-Янв-24, 17:19	+2 +/–
На каждый коммит в CI/CD создаётся чистое окружение и туда устанавливаются (скачиваются) в зависимости с нуля (из npm) чтобы собрать пакет/проект/приложение. Так делают многие, если не большинство. Вот оттуда)
Ответить \| Правка \| Наверх \| Cообщить модератору
Родитель: #1 Ответы: #95, #117