'-' という名前の、中身が無いのに70万回ダウンロードされてる謎のnpmパッケージ

Tue, 03 Aug 2021 00:00:00 +0000

- という名前の JavaScript/TypeScript パッケージについて警告を発している記事が話題となっています。

このパッケージ、中身はほとんど空で、Readme と、dev で TypeScript を動かせるようにするライブラリ群を呼ぶ箇所だけのもの。

しかし、この “-” を使っている他の npm パッケージが 50個以上あり、約一年前の公開時からのトータルのダウンロード数は72万回にもなります。

しかし、"-" を読み込んでいるパッケージを見てみても、"-" が必要そうには見えません。

警告記事では、この無名のパッケージが密かに使われるようになった原因が、npm コマンドのコマンドラインを打つときのミスタイプにあるのではないかとの仮説を立てています。

つまり、someFlag というオプションを使い

npm i -someFlag somepackage

と打つべきところで、

npm i - someFlag somepackage

と間違ってスペースを入れて実行したことで、"-" というパッケージがインストールされてしまい、その状態からパッケージを作って公開してしまったものが(50個以上)出てしまったのでは、ということです。

実際にわざと間違ってみたところ、someFlag の部分にマッチするnpmパッケージがあれば、特にエラーもなく"-“パッケージが入ってしまいます。

$ npm i - O knock-knock-jokes added 3 packages, and audited 4 packages in 1s found 0 vulnerabilities $ npm ls test-@ C:\work\temp ├── -@0.0.1 ├── knock-knock-jokes@1.7.0 └── O@0.0.9

Npm on akky@サイボウズラボ・ブログ

'-' という名前の、中身が無いのに70万回ダウンロードされてる謎のnpmパッケージ