OpenAI 遭 TanStack npm 供应链攻击：两台设备受影响，代码签名证书全面轮换

# 查看项目中 TanStack 相关包的安装历史版本
# 将 @tanstack/react-query 替换为你实际使用的包名
npm ls @tanstack/react-query @tanstack/router @tanstack/table 2>/dev/null

# 检查 lockfile 中是否有可疑版本号（异常高的版本跳跃）
grep -E "@tanstack/(react-query|router|table)" package-lock.json | head -20

# 如果使用 pnpm
pnpm ls @tanstack/react-query @tanstack/router @tanstack/table

# 锁定到确认安全的版本，然后重新安装
npm install @tanstack/react-query@5.62.0 --save-exact
npm install

# .github/workflows/supply-chain-audit.yml
name: Supply Chain Audit
on:
  pull_request:
  push:
    branches: [main]

jobs:
  audit:
    runs-on: ubuntu-latest
    steps:
      - uses: actions/checkout@v4

      - name: Install dependencies
        run: npm ci

      - name: Run npm audit
        run: npm audit --audit-level=high
        # 如果发现 high/critical 漏洞，CI 直接失败

      - name: Check for suspicious postinstall scripts
        run: |
          # 扫描所有依赖中的 postinstall/preinstall 钩子
          SUSPICIOUS=$(npm ls --all --json 2>/dev/null | \
            python3 -c "
          import json, sys
          data = json.load(sys.stdin)
          for name, info in data.get('dependencies', {}).items():
            scripts = info.get('scripts', {})
            for hook in ['preinstall', 'install', 'postinstall']:
              if hook in scripts:
                print(f'{name}: {hook} -> {scripts[hook]}')
          ")
          echo "$SUSPICIOUS"
          # 人工审查输出，任何非必要脚本都应标记

      - name: Verify package integrity with sigstore
        run: |
          # 使用 npm sigstore 验证包签名（需 npm >= 10）
          npx sigstore verify @tanstack/react-query@5.62.0 || echo "签名验证失败，请审查"

// package.json — 禁止使用 ^ 或 ~ 前缀
{
  "dependencies": {
    // 错误做法：浮动版本，npm install 可能拉到新版本
    // "@tanstack/react-query": "^5.62.0"

    // 正确做法：精确锁定
    "@tanstack/react-query": "5.62.0"
  },
  // 强制 npm ci 使用 lockfile，禁止隐式升级
  "scripts": {
    "install:locked": "npm ci --ignore-scripts"
  }
}

# 1. 生成新的代码签名密钥对和 CSR
openssl req -new -newkey rsa:4096 -keyform PEM \
  -keyout new-signing-key.pem -out signing.csr \
  -subj "/O=YourCompany/CN=Your App Signing Certificate"

# 2. 向 Apple Developer Program 提交 CSR，获取新证书
#    （通过 Apple Developer Portal 手动操作）

# 3. 导入新证书到签名环境
security import new-signing-key.pem -k ~/Library/Keychains/signing.keychain

# 4. 更新 CI/CD 签名步骤，使用新证书 Identity
#    在 codesign 命令中指定新证书的 SHA-1 fingerprint
codesign --sign "NEW_CERTIFICATE_IDENTITY" \
  --force --timestamp --options runtime \
  dist/YourApp.app

# 5. 通知所有用户在截止日期前更新
#    在应用内弹窗、邮件通知、官网公告三管齐下