一套便利检测和恢复中毒的公用事业
@fast-check/poisoning
一套便利检测和恢复中毒的公用事业
在JavaScript中,"原型中毒"是CVES或零天最常见的来源之一. 它允许攻击者改变一些默认的行为,比如: Array.prototype.map, (中文(简体) ), Map, (中文(简体) ), Set...这样他们的行为就不同了 可以被利用来做恶事 此软件包除了用于 fast-check 以检测在您财产测试中可能发生的中毒.
软件包是:
assertNoPoisoning: 断言在您代码中首次导入软件包时已知的默认未更改restoreGlobals: 恢复默认值,以便通过 assertNoPoisoning 将会解决@fast-check/poisoning 共发布 15 个版本，首次发布于 2022/08/27；过去 12 个月发布了 2 个版本。最新版本附带 npm provenance 构建来源证明，可追溯到公开的 CI 构建记录。
| 版本 | 发布日期 | 距今 |
|---|---|---|
0.3.1latest | 2026/09/11 | 2 个月前 |
0.3.0 | 2026/03/08 | 8 个月前 |
0.2.3 | 2025/03/11 | 1.7 年前 |
0.2.2 | 2024/11/02 | 2 年前 |
0.2.1 | 2024/08/26 | 2 年前 |
0.2.0 | 2024/01/31 | 2 年前 |
一套便利检测和恢复中毒的公用事业
在项目目录运行 npm install @fast-check/poisoning，或使用 pnpm add / yarn add / bun add。
该包的 package.json 没有声明类型入口。需要类型提示时，可以在 npm 上查找社区维护的 @types/fast-check__poisoning 是否存在。
以 ES Module 形式发布，推荐使用 import 引入。在 CommonJS 项目中，Node.js 20.19+ / 22.12+ 可以直接 require() 不含顶层 await 的 ES Module，更早的版本需要改用动态 import()。
@fast-check/poisoning 使用 MIT 许可。宽松许可：允许商业使用、修改和再分发，通常只需在分发时保留原版权与许可声明。以上为概括，不构成法律意见，请以许可原文为准。
根据 npm 官方下载统计，@fast-check/poisoning 在 2026/10/15 – 2026/11/13 这 30 天内被下载 3,537 次，日均约 118 次。下载量会把 CI 构建、镜像同步和作为其他包依赖的安装一并计入，适合横向比较热度，不能直接等同于使用人数。
最新版本 0.3.1 发布于 2026/09/11（2 个月前）；至今共发布 15 个版本，其中过去 12 个月发布了 2 个；首次发布于 2022/08/27。发布频率只是参考信号：功能稳定的工具可能很少需要更新，建议结合源码仓库的 issue 和提交记录判断。