软件供应链安全

伪装数学库的 npm 包藏有加密载荷，源码仓库不能替发布包作保

SafeDep 的分析报告指出，mathmain 及关联 npm 包中存在加密加载器，特定计算输入可触发解密并执行后续代码。研究人员发现，部分关联包的公开 GitHub 源码并不包含这段逻辑。