待验证50% 置信事实精确时间
npm 的 package-lock.json 锁定每个依赖的精确哈希，npm audit 对接 NVD 自动比对已知 CVE
1
来源数
50%
置信度
长期有效
时效性
2026/10/11
首次发现
来源
涉及实体
相关事实
待验证开发者可通过 npm audit 与锁定文件（package-lock.json / pnpm-lock.yaml）降低依赖替换风险74% 相似待验证在 CI 环境中可结合 npm audit、package-lock.json 哈希锁定以及 Sigstore 等工具构建多层验证以降低依赖投毒风险68% 相似待验证软件供应链安全中的依赖锁定机制（如npm的package-lock.json、Python的requirements.txt哈希锁定）通过固化依赖版本与完整性指纹来对静默更新告警67% 相似待验证攻击载荷会扫描 .npmrc 中的 npm 认证令牌、AWS/GCP/Azure 云凭证、环境变量中的密钥以及 CI/CD 部署密钥65% 相似待验证package-lock.json等自动生成的锁文件动辄数千甚至上万行会虚高代码统计数字62% 相似
引用此条事实
Stable URI
https://kongchang.com/claim/997296API
curl https://kongchang.com/api/v1/knowledge/claims/997296MCP
get_claim(id=997296)