es5-ext dependency is quarantined by Nexus Firewall, blocking hermetic builds
Ninguém assumiu esta issue ainda.
Avaliação
- Dificuldade
- 2/5
- Tempo estimado
- 1-3 horas
- Facilidade para iniciantes
- 68/100
- Tipo de issue
- Bug
- Clareza
- Claramente especificada
- Status de atividade
- Pouca atividade
- Stack de tecnologia
- typescript, vscode
- Domínio
- build-system, devops
Direção de pesquisa
Comece em lib/vscode/package.json e siga a cadeia de dependências listada para confirmar como es5-ext é resolvido. Aplique o dependency override descrito na issue e, em seguida, execute o build hermético ou hardened de obtenção de dependências para verificar se o pacote colocado em quarentena não é mais solicitado.
Escrita pelo modelo de indexação a partir do texto da issue.
Descrição
Problem
The es5-ext npm package (both 0.10.63 and 0.10.64) has been quarantined by Nexus Firewall under advisory sonatype-2022-2248. Its _postinstall.js script makes network calls to geolocate the host and executes undisclosed code (classified as protestware). Both versions are flagged; there is no clean upstream version.
This blocks any hermetic/hardened supply chain build that prefetches npm dependencies through an artifact registry proxy, resulting in:
FetchError: 403, message='--- Requested item is quarantined ---'
url='https://artifact-registry-proxy.../npm-proxy/es5-ext/-/es5-ext-0.10.63.tgz'
Dependency chain
es5-ext enters code-server through the VS Code submodule (lib/vscode/):
gulp-sourcemaps→debug-fabulous→memoizee→es5-ext(build tooling, devDependency)- Also via
d,es6-iterator,es6-symbol,es6-weak-map,esniff,event-emitter,timers-ext
Upstream status
- microsoft/vscode#310541 — closed, maintainer said PRs welcome
- microsoft/vscode#160012 — older duplicate, also closed
- medikoo/es5-ext#186 — upstream protestware discussion (4 years old)
Suggested fix
Add an npm overrides entry in lib/vscode/package.json to alias es5-ext to @unes/es5-ext, a community fork that strips the postinstall script and rebases daily against upstream:
"overrides": {
"es5-ext": "npm:@unes/es5-ext@0.10.64-1"
}
We have implemented this fix in our downstream build at opendatahub-io/notebooks#3556.
- Linguagem predominante
- TypeScript
- Estrelas
- 79.4k
- Forks
- 6.9k
- Merge médio
- 2d 13h
- PRs com merge (30d)
- 39
Guia de contribuição
Primeiros passos
- Leia a issue inteira e depois o guia de contribuição do projeto.
- Comente na issue dizendo que vai assumir — evita que duas pessoas façam o mesmo trabalho.
- Faça um fork do repositório e trabalhe em uma branch.
- Abra um pull request que referencie o número da issue.
Mais de coder/code-server
-
Dificuldade 1/5 Menos de uma hora Facilidade para iniciantes 92/100
coder/code-server#8017 · 2 comentários ·
-
Bump proxy-addr to 2.0.8 Abertasecurity
Dificuldade 2/5 1-3 horas Facilidade para iniciantes 74/100
coder/code-server#8013 · 4 comentários ·
-
enhancement
Dificuldade 5/5 Mais de uma semana Facilidade para iniciantes 35/100
coder/code-server#7976 · 2 comentários ·
-
enhancement
Dificuldade 5/5 Mais de uma semana Facilidade para iniciantes 35/100
coder/code-server#7962 · 3 comentários ·
-
bug needs-investigation
Dificuldade 4/5 3-5 dias Facilidade para iniciantes 55/100
coder/code-server#7955 · 1 comentário ·
Todas as issues de coder/code-server
Issues semelhantes
-
Dificuldade 2/5 1-3 horas Facilidade para iniciantes 70/100
-
Dificuldade 2/5 1-3 horas Facilidade para iniciantes 75/100
mksglu/context-mode#1200 ·
-
Dificuldade 2/5 1-3 horas Facilidade para iniciantes 75/100
jaegertracing/jaeger-ui#4506 ·
-
area:desktop area:ui bug platform:macos
Dificuldade 2/5 1-3 horas Facilidade para iniciantes 75/100
anthropics/claude-code#96687 ·
-
good first issue
Dificuldade 1/5 Menos de uma hora Facilidade para iniciantes 95/100
AOSSIE-Org/DebateAI#582 · 2 comentários ·