PR/新依赖快速供应链评审：危险 install/posti…

# PR #482 依赖安全审查报告

一、结论总览

| 包名 | postinstall | typosquat风险 | 结论 |

|---|---|---|---|

| lodash-es | ❌ 无 | 无风险 | ✅ 放行 |

| fsevents | ❌ 无 | 无风险（但有警告） | ⚠️ 有条件放行 |

| mime-types | ❌ 无 | 无风险 | ✅ 放行 |

二、逐包审查详情

1. [email protected]

• 正是官方仓库 lodash/lodash 的官方 ESM 分发包，维护者为 John-Dalton，星标数与下载量匹配（周下载约 1500 万）。
• 无 install/preinstall/postinstall 脚本，dist.tarball 指向 registry.npmjs.org 官方域。
• 建议：配合 Node 18 tree-shaking，仅 import debounce from 'lodash-es/debounce' 以减小产物体积。

2. [email protected]

• 官方 macOS 原生监听包（strongloop/fsevents），包名拼写正确，非 fsevent/fseventts 等仿冒变体。
• ⚠️ 关键点：虽无 postinstall，但属 native addon，通过 node-gyp 在 macOS 编译 .node 二进制，CI 日志需确认编译源仅来自官方 tarball。
• ⚠️ 该包仅 macOS 可用，若部署环境为 Linux（电商后端常见），务必将其放入 optionalDependencies 而非 dependencies，否则 Linux 生产环境安装可能报错。

3. [email protected]

• 官方 mime-types 包，是 [email protected] 的替代，依赖 mime-db（同为 jshttp 组织官方包），依赖链仅 1 层，无传递安装脚本。
• 数据库随 mime-db 更新，无网络请求类代码，纯静态映射表。

三、typosquat 专项核查

对 npm registry 检索近名包：lodash-es vs lodahs-es/loadsh-es（均已下架或标记恶意）、fsevents vs fs-events（存在同名高仿，勿混淆）、mime-types vs mimee-types。本 PR 版本号、维护者、仓库 URL 与官方完全一致，均非仿冒。

四、整改要求（合并前必须完成）

1. 将 fsevents 移入 optionalDependencies，并添加 os: ["darwin"] 场景说明。

2. 锁定精确版本（去掉 ^），提交 package-lock.json。

3. CI 增加 npm audit --omit=dev 与 pnpm ignore-scripts=false 双校验，防供应链注入。

4. 确认无任何包引入 child_process/网络外联的 install 钩子（本次三包均已核实无）。

审批意见：修改 fsevents 依赖声明后即可合并。