待验证50% 置信事实精确时间
定期运行 npm audit 或 pip-audit 可以把已知漏洞暴露出来，但无法替代人工判断“这个包是否真的需要”。
1
来源数
50%
置信度
长期有效
时效性
2026/10/17
首次发现
来源
涉及实体
相关事实
待验证npm audit 主要依赖 npm 官方漏洞数据库进行漏洞扫描74% 相似待验证在 CI 环境中可结合 npm audit、package-lock.json 哈希锁定以及 Sigstore 等工具构建多层验证以降低依赖投毒风险68% 相似待验证npm 的 package-lock.json 锁定每个依赖的精确哈希，npm audit 对接 NVD 自动比对已知 CVE64% 相似待验证开发者可通过 npm audit 与锁定文件（package-lock.json / pnpm-lock.yaml）降低依赖替换风险63% 相似待验证传统安全手段如代码审计、静态分析、哈希校验在信任信任攻击面前无法有效检测威胁62% 相似
引用此条事实
Stable URI
https://kongchang.com/claim/1051329API
curl https://kongchang.com/api/v1/knowledge/claims/1051329MCP
get_claim(id=1051329)