socket pnpm add / socket yarn add scan the alias name instead of the aliased package
維護者通常 1 天內回覆
還沒有人認領這個 Issue。
評估
- 難度
- 2/5
- 預估耗時
- 1-3 小時
- 新手友好度
- 85/100
- Issue 類型
- 缺陷
- 描述清晰度
- 描述清楚
- 活躍度
- 活躍
- 技術堆疊
- node.js, typescript
研究方向
閱讀 src/utils/npm-spec.mts 和 safeParseNpmSpec 函式；它缺少 alias 分支並使用 npm-package-arg 的結果。新增對 'alias' 類型的處理，使用 subSpec 回傳真實的套件和版本。用 SOCKET_CLI_DEBUG=1 socket pnpm add my-lodash@npm:[email protected] 驗證送出了 pkg:npm/[email protected]。
由索引模型根據 Issue 內容生成。
描述
The shadow pnpm and yarn wrappers check packages with the Socket API before they install them. For an npm alias spec, the check looks up the alias name instead of the package that gets installed.
safeParseNpmSpec in src/utils/npm-spec.mts reads name and version from the npm-package-arg result. For an alias, npm-package-arg returns type: 'alias', sets name to the alias, and puts the real package in subSpec. The function has no branch for alias, so it returns the alias name with no version.
| Command argument | PURL sent for scanning | Package installed |
|---|---|---|
my-lodash@npm:[email protected] |
pkg:npm/my-lodash |
[email protected] |
node-types@npm:@types/[email protected] |
pkg:npm/node-types |
@types/[email protected] |
As a result, the installed package never gets checked. If an unrelated package has the alias name, its alerts are reported instead. socket yarn install has the same problem with aliased package.json dependencies such as "my-lodash": "npm:lodash@^4", because it builds name@version from each entry and passes the result to the same function.
Steps to reproduce
- Run
SOCKET_CLI_DEBUG=1 socket pnpm add my-lodash@npm:[email protected]. - Check the
packagePurlsdebug output.
Expected result
pkg:npm/[email protected]
Actual result
pkg:npm/my-lodash
Version
v1.x branch at 766b1e6 / [email protected].
- 主要語言
- TypeScript
- 星號
- 336
- 分支
- 72
- 平均合併
- 8 小時 18 分鐘
- 30 天內合併 PR
- 70
環境準備
- 沒有 Dockerfile 或 Docker Compose 檔案
- 沒有 Pull Request 範本
- 閱讀貢獻指南
從這裡開始
- 先讀完整個 Issue，再讀專案的貢獻指南。
- 在 Issue 下留言說明你要接手 —— 這能避免兩個人做同樣的事。
- Fork 儲存庫，在一個分支上完成修改。
- 送出 Pull Request，並在描述裡引用這個 Issue 編號。
SocketDev/socket-cli 的其他 Issue
-
bug
難度 2/5 1-3 小時 新手友好度 78/100
SocketDev/socket-cli#1160 · 1 則留言 ·
維護者通常 1 天內回覆
-
`socket npm outdated --json` appends an error object after valid JSON when npm exits with code 1未關閉
難度 3/5 1-2 天 新手友好度 65/100
SocketDev/socket-cli#1656 ·
維護者通常 1 天內回覆
-
難度 5/5 一週以上 新手友好度 35/100
SocketDev/socket-cli#1525 ·
維護者通常 1 天內回覆
-
難度 3/5 1-2 天 新手友好度 45/100
SocketDev/socket-cli#1517 ·
維護者通常 1 天內回覆
-
難度 3/5 1-2 天 新手友好度 68/100
SocketDev/socket-cli#1498 ·
維護者通常 1 天內回覆
查看 SocketDev/socket-cli 的全部 Issue
相似的 Issue
-
難度 2/5 1-3 小時 新手友好度 76/100
marmelab/react-admin#11431 ·
維護者通常 1 天內回覆
-
難度 2/5 1-3 小時 新手友好度 88/100
db-ux-design-system/core-web#8655 ·
維護者通常 1 天內回覆
-
難度 2/5 1-3 小時 新手友好度 74/100
維護者通常 1 天內回覆
-
bug
難度 2/5 1-3 小時 新手友好度 76/100
stripe/react-stripe-js#728 ·
-
[Upload Grade C dataset] the pop-up changes it's size while uploading the document => Jumping effect未關閉bug
難度 2/5 1-3 小時 新手友好度 66/100
epam/statgpt-admin-frontend#305 ·
維護者通常 1 天內回覆