🔒 Хеш есть, запрета нет

На связи CyberINS.

Хеш в lock-файле есть, а вредоносный сервер все равно может подменить пакет. Если ты считаешь сам файл защитой, вот неприятная ловушка менеджеров пакетов.

В Pub несовпадение хеша не останавливает установку: менеджер обновляет хеш в lock-файле. Не сбой, а документированное поведение. Блокировку надо включать отдельно.

Но не будем обобщать: в эксперименте для каждого менеджера проверены один пакет, одна версия и одна платформа. Это не вердикт всем конфигурациям.

Я бы смотрел не на наличие хеша, а на реакцию при несовпадении. Заметить подмену и остановить установку — не одно и то же.

⏺ Разбор, на который опираюсь

#SupplyChain #AppSec // ❓ cyber in network security // max.ru/cyberins