Исходное сообщение
"В популярный NPM-модуль внедрено вредоносное ПО, копирующее ..." Отправлено KonstantinB, 16-Июл-18 10:48
PHP без composer уже не живет. Ну, то есть можно, но бессмысленно. Но это так, между прочим. В npm, помимо большего на порядки количества модулей (и микромодулей), есть еще одна специфика - каждый пакет тянет свои зависимости рекурсивно, независимо от остальных. И в одном проекте запросто может быть 10 разных невосместимых версий какого-нибудь leftpad-а. (Оставим в стороне дискуссии о разумности такого подхода). Мейнтенить такое принципиально невозможно - никаких разумных ресурсов не хватит. Но, поскольку проблема актуальна, там придумали своего рода "постмодерацию" - npm audit.