npm 생태계에서 '최신 버전'이 곧 '최신 독약'이 될 수 있다는 걸 보여주는 사례임. 방금 나온 패키지는 무조건 거르고 최소 7일은 묵혔다 쓰는 게 공급망 공격을 막는 가장 현실적인 방벽인 판임. 남들보다 늦게 업데이트하는 게 느린 게 아니라, 남들이 먼저 터지는 걸 지켜보는 영리한 생존 전략인

i just hardened most of the npm packages I own against the ongoing supply chain attack

using this thread to share what i did in case it's helpful for others

the core idea is simple: don't use any third-party package versions that are just published. enforce this with tools