二十五个包管理器里，只有两个默认拦住被篡改的下载

📋 概述

Trail of Bits 的 Keegan Ryan 搭了个假的被攻破包服务器，把 25 个流行包管理器指过去：只有 Go 和 vcpkg 在没有锁文件时也校验了每一个下载，其余 23 个给什么装什么。锁文件也没救回大多数——25 个里不到一半默认校验哈希。Pub（Dart/Flutter）发现哈希不匹配照样安装，还把锁文件改成匹配值，除非加 --enforce-lockfile；pnpm 会覆盖锁文件。这类「跑了检查但照样安装」的工具，比完全不检查的更难发现。攻击是否算成功，只看注入的代码有没有真的执行。