Vet a Package Before Adding
Vet a Package Before Adding — Chinese original prompt
同事要引入 [包名] 来实现 [功能]。请给出引入前的审查清单：包名与官方是否一致（[混淆写法] 这类近似名要警惕）、维护活跃度与最近提交、安装脚本会不会执行外部命令、依赖树规模与许可证、下载量与仓库地址。再说明内部私有源怎么配置才不会被同名包劫持。
Site original
Chinese original
How to use
重点看安装时会不会执行脚本，很多恶意包就藏在安装钩子里。