@realJamespond #17 pnpm10+ 默认在安装期间阻止依赖项的生命周期脚本执行，因此主动安装的 axios 不会中招，但是 CLI/MCP 很可能使用 npx ，这样依然会中招。

https://github.com/axios/axios/issues/10604
开发者凭证被偷感觉是无解的难题。

目前我的鼠标会间歇性卡顿，是某次升级后才出现的

可以尝试下
https://github.com/buke/quickjs-go
https://github.com/fastschema/qjs

供应链攻击 (Supply chain attack) 是一个定义宽泛且未能达成共识的术语。
这个定义最宽泛的解释是一切非直接攻击都可以称作供应链攻击，因此世界上绝大多数成功的网络攻击都可以算是供应链攻击。稍微严格的解释是受信任的上游被攻破、植入后门，造成难以发现的下游打击。
它暗示厂商本身也是受害者，常用于甩锅大会，但厂商不能由于自己服务器被攻破了，然后声称自己受到了供应链攻击，受到攻击的是用户，厂商是跳板。
例如 2013 年的 Target 泄密事件，黑客攻击 Target 的上游 Fazio 窃取到凭证，横向移动盗走 Target 几千万张信用卡信息，Target 在这次事件中和被偷走信息的用户都是受害者，他们遭受到了供应链攻击。至于 Target 内部安全措施和管理一坨屎是另一回事。
2020 年的 SolarWinds 事件，Orion 的构建服务被黑，这里遭受到供应链攻击的是使用了 Origin 的倒霉蛋。对于此次事件 SolarWinds 甩锅给了外国政府。但无论怎么说，这还是自身服务被直接攻破了的原因。

如果 Apifox 要声称自己遭到供应链攻击，那只能是七牛云投的毒。
我更倾向于是某个开发或者管理人员的凭证被偷了，或者有内部人员勾结黑产。

如果打算上边缘计算，只能选 hono 。
如果限定 nodejs 我自己的排名是 hono > elysia > fastify > express > other ，排名基于个人主观喜好。
如果站在客观视角，也会考虑 nestjs ，但是 AI 时代这种玩意还是尽早淘汰掉比较好，相同的项目，使用 nestjs 起码 比 hono 多烧 2 倍以上 token ，大量细碎文件也会给重构带来巨大阻力，来来回回烧掉无意义 token 。

@eviladan0s #98 供应链攻击是一个极其容易被滥用的词，特别是厂商需要甩锅时。
https://www.cloudflare.com/zh-cn/learning/security/what-is-a-supply-chain-attack/
实际上它指的是第三方依赖项作为被信任的一环却包含了恶意代码，而上层软件间接成为攻击的一环。
正常的供应链攻击是这样：
黑客->依赖项->第三方软件->用户
此次攻击是这样：
黑客->第三方软件(apifox 服务端)->用户
这不是供应链攻击，单纯的就是 apifox 服务的某一环例如 CI/CD 被攻破了
作为被攻破的一环，还敢称"遭受供应链攻击"，除非是 apifox 使用了其他的第三方软件存在问题，该软件恶意篡改了静态资源文件导致了事故，那他们必须说明是哪一环节出了问题，这才是正经的安全通告。

@lisongeee #86
官方通告和楼上某篇博客都用词不当，这根本不是供应链攻击，所谓的供应链攻击是任意信任环节出问题，apifox[.]it.com 很明显不是信任链中的任意一环。
提起供应链攻击，很大程度是为了甩锅，毕竟信任方出问题是不可控的。
现在很明显要么是内鬼，要么是他们自己的服务器中招了，apifox 不会把全部运维都裁掉了吧？

@livib 不都说了，能保证稳定经营下去的就是官方价格，你愿意花接近官方价格的钱吗？

中转站=一定会跑路，不存在稳定经营的基础条件。
一般来说模式是这样，先贴钱拉人来用，用户多了开始掺水然后拼命拉更多人，等到了一定规模就跑路，用户没来得及花掉的余额是这场击鼓传花的重要收益来源。
有些中转站靠不断重复这个收割流程来赚钱，说白了就是赌博，买中转站就是赌下个周期会不会跑路。

目前的中转就是靠着低价 token 玩击鼓传花，来源渠道不稳定，一旦撑不住了或者利润低了立马关站跑路+秽土重生。

如果你想要稳定的，那就是官方价格，那也没中转什么事了。

在 java 之外的语言强行上 DDD 只能说是没事找事嫌业务不够复杂。

看情况，公司不重要的项目 90~100%，重要的项目 70~80%，个人项目 50%

@lesismal 这是因为大多数人在滥用 MCP ，并不是 MCP 本身不好。
另外，现在换成了一堆人在滥用 skills 。