待验证50% 置信事实精确时间
jpm 的安全特性包括：不审批就不运行脚本、包发布时间不足一天不升级到最新版、围绕 .npmrc 的安全加固。
1
来源数
50%
置信度
中期 (~90 天)
时效性
2026/10/16
首次发现
有效期至：2027/1/14
来源
涉及实体
相关事实
待验证JWT 天生无状态，签发后无法单独吊销；若业务需要主动失效能力，需引入短有效期加服务端维护的 refresh token 黑名单或版本号机制。62% 相似待验证版本锁定文件（package-lock.json或yarn.lock）无法完全阻断供应链攻击，因为新建项目首次安装仍会拉取被污染版本，且自动化更新工具可能升级至恶意版本59% 相似待验证针对使用apiKeyHelper返回短期JWT的场景，过期缓存令牌会在发送前刷新，401/403认证错误会静默重试59% 相似待验证在 package.json 中使用 ^1.0.130 这样的插入符约束，可以允许自动接收后续补丁更新，同时屏蔽可能带来不兼容风险的次版本升级58% 相似待验证v3.28.0 将 PyJWT 安全约束升级至 2.14.0，对应 PR #399157% 相似
引用此条事实
Stable URI
https://kongchang.com/claim/1047241API
curl https://kongchang.com/api/v1/knowledge/claims/1047241MCP
get_claim(id=1047241)