TanStack NPM 供应链勒索事件的事故复盘

- TanStack 是前端开发者常用的开源库（如 React Query / TanStack Query、TanStack Table），被大量 Web 项目依赖，维护者是知名开发者 Tanner Linsley。 - 2025 年 4 月，TanStack 某个维护者的 NPM 账户凭据被泄露，攻击者利用此权限将篡改后的版本推送到 NPM 包管理器，包中包含勒索信息（要求付款否则破坏项目）。该事件属于软件供应链攻击：攻击者不是直接攻击最终用户，而是通过攻陷上游开源组件来间接影响所有下游使用者。 - NPM 是 Node.js/JavaScript 生态的官方包注册中心，开发者通过 npm install 自动下载依赖包，因此一旦合法包被恶意篡改，所有自动更新的项目都可能受影响。 - 此事件再次凸显开源供应链安全风险——单个维护者账户被攻破即可影响数百万下游用户，社区正广泛讨论双因素认证强制、包签名、访问令牌轮换等防护措施。