Polyfills链式攻击与Angular polyfills.ts是否相关？Angular14/15及Vue是否安全？

核心结论 #

• 这次攻击和Angular自带的polyfill.ts文件无关，仅针对使用第三方polyfill.io公共CDN服务的项目。
• Angular 14/15、Vue的默认配置均不受影响，只要你没主动引入polyfill.io的外部脚本，项目就是安全的。

详细拆解 #

1. 攻击事件背景 #

2024年6月曝光的这次供应链攻击，是攻击者劫持了polyfill.io的部分服务节点，向特定地区用户返回恶意polyfill脚本——这些脚本会链式加载额外的恶意代码，可能导致用户数据泄露、设备被植入恶意程序。但攻击仅针对直接调用polyfill.io公共CDN的场景，和本地引入的polyfill包完全无关。

2. Angular 14/15的安全状态 #

Angular项目默认的polyfill.ts文件，引入的是官方维护的core-js、zone.js等本地polyfill包，完全不依赖polyfill.io服务：

• 如果你没手动在项目里加过类似<script src="https://polyfill.io/...">的外部脚本，你的Angular 14/15项目绝对安全。
• 要是你确实用了polyfill.io，赶紧替换成本地polyfill：直接安装core-js，然后在polyfill.ts里按官方文档引入对应模块即可，彻底切断风险。

3. Vue项目的安全状态 #

Vue的默认polyfill方案（不管是Vue CLI还是Vite搭建的项目），都是通过core-js等本地包实现的，同样不依赖polyfill.io：

• 没引入过polyfill.io外部脚本的Vue项目，完全不受这次攻击影响。
• 若之前用了polyfill.io，处理方式和Angular一致：换成本地core-js，或者改用其他可信的polyfill源。

内容的提问来源于stack exchange，提问作者yafit