Observation intéressante ici. J'ai maintenu plus de 300 paquets avec plus d'un milliard de téléchargements au total, mais zéro incident de sécurité de mon côté.

Peut-être est-ce parce que je suis prudent quant à ce qui est fusionné. La plupart des packages passent par des cycles de test complets, une documentation complète, et ils sont réellement terminés avant leur sortie.

Voici le problème cependant - NPM lui-même devient une vulnérabilité. Et honnêtement ? Nous pourrions même ne pas en avoir besoin en premier lieu.