`npx -y`在每次启动时从npm注册表解析并下载最新版本，可能导致配置在后续运行时拉取到被劫持或误发布的新版本，存在供应链风险。