GitHub 预览了一个 npm 防火墙，但无法阻止通过绕开它而路由的软件包
GitHub 标注为 10 月 20 日的变更日志条目（于 10 月 21 日发布）详述了面向 GitHub Enterprise Cloud 客户的免费公开预览。该防火墙对通过其路由的 npm 流量执行策略检查；全面可用时将采用按量计费。
By Ryan Merket · Published
Primary source: GitHub Changelog
为何重要
Package Firewall 为企业管理员提供了一个在软件包到达存有源代码和凭证的机器之前，对 npm 安装进行治理的控制点。仅支持 npm 且未来将采用按量计费的定价方式，限制了该初始产品的范围。
GitHub 在一条日期为 10 月 20 日并于 10 月 21 日发布的变更日志条目中，向 GitHub Enterprise Cloud 客户开放了其 Package Firewall。该防火墙在 npm 元数据请求和下载到达构建主机、开发者工作站或编码代理之前，将其路由到一个策略层。该预览版免费；GitHub 表示计划在服务达到正式可用（general availability）时按用量计费，但未给出日期或具体费率数字。
此项发布针对依赖项安全中的一个特定空白：恶意包可以在安装期间运行脚本并在其主代码运行之前窃取凭据。GitHub 的防火墙位于已配置端点与包注册表之间，对包请求和下载应用企业规则。这使 GitHub 能在安装时强制执行策略，而不是仅依赖在依赖项已经进入构建环境后进行的扫描。
The gate works only when traffic goes through it…
When you purchase through links in our articles, we may earn a small commission. This doesn’t affect our editorial independence.