La dependencia que no es la que crees

Un paquete con un nombre a una letra del de una librería legítima no es un descuido de quien lo publica: es una trampa. La apuesta es que alguien escriba mal el nombre al añadir la dependencia, o copie una línea con una errata, y acabe instalando el paquete del impostor en lugar del real. Como corre dentro de tu servicio con los mismos permisos que cualquier otra librería, el daño es total. En Cauce aparece una dependencia nueva con un nombre que se parece al de la librería oficial de la pasarela salvo por una letra.

Mirar el nombre de cada dependencia nueva con cuidado —y desconfiar del que se parece demasiado al oficial— es una defensa que no cuesta herramientas, solo atención.

Una dependencia sin versión fijada toma siempre la última publicada, lo que significa que una versión nueva puede entrar en tu despliegue sin que nadie la revise. Fijar la versión exacta, y registrar en un archivo de bloqueo la huella de integridad de lo que se instaló, cierra esa puerta: una versión distinta a la fijada no entra sin un cambio visible que alguien aprueba. En Cauce, la librería oficial de la pasarela está fijada y verificada; la sospechosa no trae versión ni firma.

Fijar versión e integridad convierte «se instaló lo último que hubiera» en «se instaló exactamente esto, y quedó por escrito».

Una dependencia se descarga de un registro, y no todos son iguales. Cuando un paquete con nombre de componente interno se resuelve desde un registro público, se abre la puerta a que un impostor publique ahí un paquete con ese mismo nombre y tu cadena lo prefiera al interno. La defensa es declarar y priorizar el registro correcto: lo interno se busca en el registro interno, y lo público solo donde toca. En Cauce, la dependencia sospechosa viene de un registro público, no del interno donde vive la oficial.

Comprobar de qué registro sale cada dependencia, y no solo su nombre, es lo que cierra la confusión entre lo interno y lo público.

Abre el laboratorio de cadena de suministro de Cauce. Lee la lista de dependencias declaradas y el análisis que las revisa. Una dependencia está fijada, con origen interno y verificada; la otra es el paquete suplantador, con nombre a una letra del oficial, sin versión y desde un registro público. Quédate con el suplantador.