'-' という名前の、中身が無いのに70万回ダウンロードされてる謎のnpmパッケージ

Tue, 03 Aug 2021 00:00:00 +0000

- という名前の JavaScript/TypeScript パッケージについて警告を発している記事が話題となっています。

このパッケージ、中身はほとんど空で、Readme と、dev で TypeScript を動かせるようにするライブラリ群を呼ぶ箇所だけのもの。

しかし、この “-” を使っている他の npm パッケージが 50個以上あり、約一年前の公開時からのトータルのダウンロード数は72万回にもなります。

しかし、"-" を読み込んでいるパッケージを見てみても、"-" が必要そうには見えません。

警告記事では、この無名のパッケージが密かに使われるようになった原因が、npm コマンドのコマンドラインを打つときのミスタイプにあるのではないかとの仮説を立てています。

つまり、someFlag というオプションを使い

npm i -someFlag somepackage

と打つべきところで、

npm i - someFlag somepackage

と間違ってスペースを入れて実行したことで、"-" というパッケージがインストールされてしまい、その状態からパッケージを作って公開してしまったものが(50個以上)出てしまったのでは、ということです。

実際にわざと間違ってみたところ、someFlag の部分にマッチするnpmパッケージがあれば、特にエラーもなく"-“パッケージが入ってしまいます。

$ npm i - O knock-knock-jokes added 3 packages, and audited 4 packages in 1s found 0 vulnerabilities $ npm ls test-@ C:\work\temp ├── -@0.0.1 ├── knock-knock-jokes@1.7.0 └── O@0.0.9

McBike - 自転車ドライブスルー用のマックの新パッケージ

Wed, 24 Jun 2015 00:00:00 +0000

マクドナルドがデンマークの首都コペンハーゲンとコロンビア第二の都市メデジンで実施したプロジェクトMcBikeは、

取っ手の部分をハンドルに引っ掛けられる、自転車用の新パッケージです。

「低エネルギーでヘルシーなライフスタイルへ向けて世界は動いている」ということ。

このMcBikeボックス、動画の最後では「アムステルダムと東京にも近日登場」と出てきます。東京のどこのマックで実施されるのか、楽しみですね。

そこ台湾だけどね!

via Likecool

ぱっけーじ on akky@サイボウズラボ・ブログ

'-' という名前の、中身が無いのに70万回ダウンロードされてる謎のnpmパッケージ

McBike - 自転車ドライブスルー用のマックの新パッケージ