为什么 pnpm 不再解析仓库 .npmrc 文件中的环境变量
· 一分钟阅读
过去，pnpm 会在任何发现 ${ENV_VAR} 占位符的地方对其进行解析替换——这包括你刚克隆的代码仓库中的 .npmrc 和 pnpm-workspace.yaml 文件。 这种机制可能被恶意仓库利用，从而窃取你环境中的敏感信息。 自 v10.34.2 和 v11.5.3 版本起，pnpm 不再解析由仓库控制的注册源及凭证配置中的环境变量。
这是一项安全修复（GHSA-3qhv-2rgh-x77r），对于某些配置而言，它属于破坏性变更。 本文介绍了此次攻击、具体发生了哪些变化，以及如何进行迁移。