‘-‘ という中身が無いのに70万回もダウンロードされてる謎のnpmパッケージ 24
ストーリー by nagazou
狙ったものなのか 部門より
狙ったものなのか 部門より
2020年初めに公開された「-」という名前のJavaScript/TypeScriptパッケージが、これまでに約72万回もダウンロードされているそうだ。パッケージは三つのファイルから構成されているものの、ほとんど中身のないものとのこと。中身のないこの 「-」を使用している他のnpmパッケージは50個以上存在しているという。しかし、それらを見ても「-」が必要なものではないという。元記事では「-」が約72万回のダウンロードを記録した理由として、npmコマンドを入力するときの誤入力にあるのではないかとしている（BLEEPING COMPUTER、秋元@サイボウズラボ・プログラマー・ブログ）。
例えば、「somepackage」というnpmパッケージをインストールする場合、「npm i somepackage」というコマンドを実行する必要があるが、このときのフラグ指定時に本来「npm i -someFlag somepackage」と打つべきところを「npm i - someFlag somepackage」とスペースを入れて実行してしまったことにより、「-」がインストールされてしまい、その状態でパッケージを作って公開してしまったものが50個以上存在するのではないかとしている。なお、過去記事でも類似する事例が報告されている。
例えば、「somepackage」というnpmパッケージをインストールする場合、「npm i somepackage」というコマンドを実行する必要があるが、このときのフラグ指定時に本来「npm i -someFlag somepackage」と打つべきところを「npm i - someFlag somepackage」とスペースを入れて実行してしまったことにより、「-」がインストールされてしまい、その状態でパッケージを作って公開してしまったものが50個以上存在するのではないかとしている。なお、過去記事でも類似する事例が報告されている。
ライセンス (スコア:2, すばらしい洞察)
GPLv3にしたら阿鼻叫喚だな。
Re: (スコア:0)
悪意あるヤツにアカウント乗っ取られて-が悪意ある内容に差し替わったら影響大きそう
Re: (スコア:0)
AGPLにしようぜ
シャープ (スコア:0)
「－」はマイナスイオンを付加する効果がある
Re: (スコア:0)
そんな事言われると引くわ～
Re: (スコア:0)
ここは5chじゃないので（略
Re:シャープ (スコア:2)
何を略したのか気になる
寝てる間にゴキブリに持っていかれた (スコア:0)
> このときのフラグ指定時に本来「npm i -someFlag somepackage」と打つべきところを
> 「npm i - someFlag somepackage」とスペースを入れて実行してしまった
？？？「このようなときでもエラーにならないように - パッケージを追加しておきました」
Re:寝てる間にゴキブリに持っていかれた (スコア:4, 興味深い)
これ系の誤り、エディタやCMSの自動整形機能で勝手にスペース入れられてしまう場合があるのが困るんだよね。
それ以外でもクォートをUnicodeの対称版（開き用と閉じ用のやつ）に勝手に変換したりとかダッシュを別のダッシュ記号に変換したりとか、
幅ゼロのスペースがいつの間にか勝手に挿入されてたりとか。
端末にコピペしようとすると見た目は正常なのに失敗する。
しかも失敗するだけならまだマシなのが辛い。
[Q][W][E][R][T][Y]
Re: (スコア:0)
slコマンドみたいなものか
Re: (スコア:0)
「とりあえず」という名前のビールを売り出せば（以下略）
Re:寝てる間にゴキブリに持っていかれた (スコア:2)
つまみ [google.com]であるようですよ。
-- う～ん、バッドノウハウ？
Re: (スコア:0)
客「う～ん、とりあえず生。人数分ね」
店員「ハイ、"トリアエズナマ"6ッスネ」
～会計時～
客「はぁ！？なんで生中が2,000円もするんだよ！」
店員「オキャクサン、"トリアエズナマ"ッテイウブランドビールナンデ」
こうですか？
Re: (スコア:0)
むしろ公式が管理しておくべきだな
中身は「間違ってますよ」にして
Pythonじゃなかった (スコア:0)
Pythonの事実上の予約後である_をパッケージとしてインストールされると非常に困る。
Re: (スコア:0)
gettext批判か。
Re: (スコア:0)
gettextはロード後使うだけだからまだインじゃね。
せいぜい実装の切り替え程度でしかない。
_はPythonだとロードも何もせんでも使える。だから一般に明示的にロードしないと使えないgettextはロードされてなきゃまあ安心してロードできるが_はロードしようとしたら使われていないことを調べにゃならん。
つまりUNIXはゴミって事か (スコア:0)
-ではなく/を使うWindowsこそ至高
Re:つまりUNIXはゴミって事か (スコア:1)
/パッケージの登場である。
Re: (スコア:0)
パッケージ名のフォルダとかファイルを作るパッケージシステムは割とありがちなのでウィンドウズで使えないパッケージになるわけだ。
完璧じゃないかinstall /hoge がウィンドウズ上でinstall / hogeになったりしてもインストールできないし。
Re: (スコア:0)
windowsだと\と混在してバグの原因に!
# さっきeclipseでそんなバグに遭遇したばかりのでAC
# \は/に変換してくれるけど見かけだけで内部使用は\のママだっったという
「‘-‘」じゃなかった (スコア:0)
顔文字に見えるな
Re: (スコア:0)
(‘-‘)人('-')ﾅｶｰﾏ