TLDR:提交到 NPM 的 .min.js 可以不存在 github repo 中。向 .min.js 混入恶意代码可通过各种手段(详见原文)规避审查不被及时发现,细思极恐。
原文: https://hackernoon.com/im-harvesting-credit-card-numbers-and-passwords-from-your-site-here-s-how-9a8cb347c5b5
原文: https://hackernoon.com/im-harvesting-credit-card-numbers-and-passwords-from-your-site-here-s-how-9a8cb347c5b5