Obsidian来自创作者
Obsidian 如何降低供应链攻击风险：少依赖、锁版本、慢升级
Obsidian 介绍其降低供应链攻击风险的做法，核心是尽量少用第三方代码：Bases 和 Canvas 等功能从零实现，小工具函数自行重写，中型模块在许可允许时分叉进代码库，大型库则使用锁定版本的文件。
所有依赖严格锁定版本并提交锁文件，不运行 postinstall 脚本；升级时逐行阅读更新日志、检查子依赖并测试，且升级与发版之间留出缓冲期。Obsidian 称，这些措施无法完全消除风险，但能大幅降低受影响的可能。
要点
- Bases 和 Canvas 从零实现，不引入现成库。
- pdf.js 等大型库使用锁定版本文件。
- 依赖严格锁定版本，并提交锁文件。
- 不运行 postinstall 脚本。
- 升级与发版之间留有缓冲期。
原文：Less is safer: how Obsidian reduces the risk of supply chain attacks
We do not run postinstall scripts.
收录于 。摘自官方博客的简短节选，著作权归原发布者所有。