为什么我的包管理器仍然会将我的内部包与公共包混淆？

大多数组织会在内部注册表中维护私有包，同时还会使用来自 npm 或 PyPI 的公共依赖项。当构建工具解析一个名称时，如果攻击者发布了一个名称相同但版本号更高的包，构建工具可能会在无任何提示的情况下优先选择该公共版本，因为没有任何注册表会对私有范围强制执行加密命名空间所有权。 微软在 2026 年 5 月记录了 33 个正在积极利用此漏洞的恶意 npm 包，这些包针对 9 个不同的企业组织范围。Orca Security 报告称，49% 的组织至少拥有一项易受此类攻击影响的资产。目前尚无任何主要的包生态系统推出过相关标准，允许构建工具拒绝那些与已声明的内部包同名但版本号更高的公共包。