TanStack 遭遇 npm 供应链攻击：前端生态再响安全警报，数十万个项目或受影响

作为全球最流行的前端工具库生态之一，TanStack 官方网站 近期遭遇了一次严重的 npm 供应链攻击事件。此次攻击不仅影响了多个热门 TanStack 包，还波及整个 JavaScript 与 AI 开发生态，引发了开发者社区对于 npm 安全机制与 CI/CD 流程的广泛担忧。

TanStack 在 React、Vue、Solid、Svelte 等前端框架中拥有极高的使用率，其中包括著名的 React Query、TanStack Router、TanStack Table 等工具。根据 npm 数据，其相关包每周下载量达到数千万次。 一旦供应链遭到污染，攻击影响范围将远超普通漏洞事件。

什么是 npm 供应链攻击？

所谓供应链攻击，简单来说就是攻击者并不直接攻击最终用户，而是通过污染开发依赖、第三方库、构建工具等方式，把恶意代码悄悄植入开发流程。当开发者执行 npm install 或 CI 自动构建时，恶意代码便会被自动执行。

这类攻击近年来越来越常见，包括此前的 event-stream、ua-parser-js、XZ Utils 等事件，都曾造成大规模影响。而这一次，攻击者盯上的目标，是整个 TanStack 生态。

TanStack 是如何被攻击的？

根据 TanStack 官方发布的事故复盘以及多家安全机构分析，本次攻击与一个名为 Mini Shai-Hulud 的供应链攻击活动有关。

攻击者通过 GitHub Actions 工作流与 CI/CD 缓存投毒等方式，成功绕过正常发布流程，最终发布了包含恶意代码的 npm 包版本。受影响的包包括：

• @tanstack/react-router
• @tanstack/history
• @tanstack/router-core
• 多个 Router 生态相关包

官方披露显示，攻击者甚至利用了 OIDC Trusted Publisher 机制生成合法发布令牌，使这些恶意版本在 npm 上看起来完全合法。更危险的是，这些包拥有真实的签名与 provenance 信息，普通开发者几乎无法第一时间察觉异常。

恶意代码会造成什么后果？

安全研究人员指出，此次恶意代码主要目标是窃取开发环境中的敏感信息，包括：

• GitHub Token
• npm 发布凭证
• 云服务 API Key
• SSH Key
• CI/CD Secrets

部分恶意代码还具备自传播能力，甚至包含破坏性逻辑。

由于现代开发环境往往直接连接生产服务器、云平台与自动部署系统，一旦开发机被入侵，攻击者可能进一步控制整个企业的软件发布链路。这也是为什么越来越多安全机构认为，供应链攻击已经成为现代软件开发最大的安全威胁之一。

为什么 TanStack 事件影响如此巨大？

TanStack 并不是一个小众项目，而是现代前端生态的重要基础设施。

例如：

• React Query 被大量 React 企业项目使用
• TanStack Table 是热门数据表格方案
• TanStack Router 被许多新一代 React 项目采用
• 大量 AI Web 项目也依赖 TanStack 技术栈

因此，一旦 npm 包遭到污染，影响的并不是单个网站，而是整个 JavaScript 开发链路。

不少开发者甚至表示，这次事件让大家重新意识到：npm install 已经不再是绝对安全的操作。

开发者现在应该如何应对？

对于已经使用相关 TanStack 包的开发者，安全机构建议立即：

• 检查近期安装的依赖版本
• 回滚到官方安全版本
• 轮换 GitHub Token 与云服务密钥
• 审查 CI/CD 日志与异常请求
• 检查构建服务器是否存在可疑脚本

同时，团队也应考虑建立更严格的供应链安全机制，例如：

• 使用 lockfile 固定依赖
• 开启 npm provenance 验证
• 引入 SBOM 软件物料清单
• 对 CI 环境做最小权限隔离
• 使用依赖安全扫描工具

TanStack 官方也已经发布了详细事故复盘与修复方案。

npm 生态正在进入高危时代

过去很多前端开发者更关注 XSS、SQL 注入、权限漏洞等传统 Web 安全问题，但如今最大的风险，可能已经转移到了依赖管理层面。现代 JavaScript 项目往往包含上千个 npm 依赖，而开发者对这些依赖的实际代码几乎没有审查能力。只要其中某个热门包被攻破，就可能形成连锁反应。

TanStack 事件再次证明：即使是拥有 2FA、OIDC Trusted Publishing、签名验证的大型开源项目，也无法完全避免供应链攻击。

未来几年，软件供应链安全很可能会成为前端开发领域最核心的话题之一。