（处理 Polyfill.io 安全警报）如何检测大型 npm 代码库是否在某处使用 Polyfill.io？

Question

Polyfill.io 是恶意的：https://dev.to/snyk/polyfill-supply-chain-attack-embeds-malware-in-javascript-cdn-assets-55d6

我现在需要找到我的代码库：

我使用：grep -r "polyfill.io" 快速找到明显的内容，并检查了网站的网络流量。

网络流量并不是查找每个 Polyfill 的详尽方法。

如何高效检查：

• npm 子依赖项
• 动态加载的polyfills？
• 其他 Polyfill 供应商如 bootcss.com bootcdn.net 和 staticfile.org 怎么样？看来 Polyfill.io 不是唯一的？ https://socket.dev/blog/namecheap-takes-down-polyfill-io-service-following-supply-chain-attack

Answer 1

您可以使用 Zaproxy 扫描网站是否使用了 polyfill[.]io 域。无需安装 ZAP，只需运行一个衬垫即可使用 docker 容器运行检查：

docker run -t zaproxy/zap-stable zap.sh -cmd -addoninstall pscanrulesBeta -zapit https://www.example.com/

您可以指定任意数量的 URL： -zapit https://www.example1.com -zapit http://example2.com/

参见 https://www.zaproxy.org/blog/2024-06-27-polyfill.io-script-detection/