3

Estou criando um gerador para gerar algumas páginas estáticas em HTML. Porém, me deparei com a situação de ter que utilizar o NPX para utilizar o AMP Optimizer.

Eu posso executar o comando da seguinte forma:

exec.Command("npx", "@ampproject/toolbox-cli", "optimize", "nome_do_arquivo.html")

Existem outras formas que posso fazer isso, mas de qualquer maneira o problema parece persistir em todos os casos.


O problema é que isso obtem o @ampproject/toolbox-cli que pode ser qualquer arquivo. Não há qualquer tipo de assinatura, hash ou versão especifica. O Golang, por exemplo, inclui um go.sum que permite verificar as hashes, dessa forma se o conteúdo baixado for diferente ele irá falhar. Isso é, ao executar o go run cmd/generate.go ele baixará exatamente aquilo que quero, ou falhará se a hash/timestamp for distinto.


Existe alguma forma de verificar a integridade do @ampproject/toolbox-cli e só executar se a hash for igual à uma especifica, por exemplo?!

1 Resposta 1

3

Existe a possibilidade de se fornecer uma versão específica do pacote a ser instalado pelo npx.

Da documentação, você pode utilizar assim:

npx [options] <command>[@version] [command-arg]...

Quanto ao hash de integridade ou algum tipo de assinatura, não achei nenhum tipo de referência que indicasse suporte pelo npx.


Por exemplo:

$ npx create-react-app@4.0.3 --version
4.0.3

Mas se eu especificar uma versão diferente:

$ npx create-react-app@2.1.8 --version
2.1.8

Como, uma vez que publicados ao npm, pacotes podem somente ser apagados (e não modificados), penso que especificar a versão, de modo hard-coded, já sirva como uma barreira de segurança adicional. Decerto o tipo de preocupação demonstrado na pergunta é importante.

Claro, ainda há a possibilidade de invasão aos servidores do npm, mas ignoremos isso pelo nosso próprio bem. ;)

1
  • Continuo achando estranho não haver como especificar a hash do arquivo, acho que é confiar demais no NPM. :|
    – Inkeliz
    Commented 31/05/2021 às 16:58

Você deve fazer log-in para responder a esta pergunta.

Esta não é a resposta que você está procurando? Pesquise outras perguntas com a tag .