误装reacct-dom而非react-dom，如何确保无恶意软件残留？

• 彻底清理残留依赖

  • 执行 npm ls react reacct-dom 确认两个包是否完全卸载，输出中不应出现reacct-dom的条目
  • 删除项目根目录下的node_modules文件夹，再执行 npm install 重装正确的依赖
  • 执行 npm cache clean --force 清空npm缓存，避免残留恶意包的安装文件

• 检查依赖配置文件

  • 打开package.json和package-lock.json（或yarn.lock），确认reacct-dom没有被写入依赖列表，若有则手动删除相关条目
  • 对比lock文件的历史变更，排查是否新增了可疑依赖或自动执行脚本（比如postinstall）

• 排查本地环境可疑行为

  • 查看系统进程（Windows任务管理器、macOS活动监视器、Linux htop/top），确认无陌生后台进程运行
  • 检查项目根目录及子目录，看是否新增了隐藏文件、未知脚本等异常文件

• 针对该占位包的额外确认

  • 你提到的arch.lin用户发布的拼写错误包标注“Security placeholder”，这类包多为安全社区的占位包，目的是防止恶意开发者抢注仿冒包，本身通常不含恶意代码，但仍需完成上述排查确保无异常
  • 查看npm安装日志（路径一般为~/.npm/_logs/下的最新日志文件），确认安装reacct-dom过程中未执行额外脚本或下载可疑资源

• 后续预防措施

  • 安装包前用 npm install --dry-run 模拟安装，提前确认包名正确性
  • 定期执行 npm audit 扫描项目依赖的安全风险

内容的提问来源于stack exchange，提问作者BrendonsDad