npm

這篇論文最有意思的地方，不是再一次提醒 npm 供應鏈有風險，而是清楚指出：少數高頻老漏洞會沿著 dependency network 被整個生態反覆繼承，讓 JavaScript 供應鏈風險更像結構性傳染，而不是零星個案。