NPM 生态的病毒如何防范？

[Features]

今天发布了自己第一个 npm 包，一个自己写的表格组件，方便拖拽合并单元格等操作
发布的过程中发现：
1.发布的包不需要经过任何审核
2.发布的包能访问和操作电脑的任何信息

感觉必然会导致病毒滋生，以后不太敢乱用 npm 包了

[paopjian]

npm 供应链投毒,老传统了,写引用写死版本号吧.
以前还出现过作者卖号 /被盗号,发布新版本导致中毒事件呢.
甚至还有一大堆高仿名字包就等着糊涂蛋去用呢

[makelove]

可怕的是 js 的包细碎，一个普通项目用到了大量不同人的成千上万的包，只要一个被投毒。。。

[imdong]

全放进 Docker