哪里可以获取含恶意代码的npm包相关安全资讯及预警通知？

你需要的仅针对已确认植入真实恶意代码的npm包预警，可通过以下渠道获取，全部支持邮件订阅推送：

• 官方专属安全公告订阅：npm官方设有专门的恶意包预警邮件列表，仅推送已经核实存在供应链攻陷、主动植入恶意代码的包事件，不会推送npm audit中常见的潜在风险、低危漏洞类信息，你可以直接在npm官方的安全设置页面完成订阅，触发预警时会第一时间发送邮件通知。
• 专业JavaScript供应链安全通讯订阅：有专门聚焦npm生态恶意包事件的社区通讯内容，所有推送的事件均经过社区安全研究者验证真实存在恶意代码，不会混入常规依赖漏洞信息，支持邮件订阅推送。
• 包管理工具内置预警配置：你使用的npm、pnpm、yarn等包管理工具都支持开启恶意包拦截功能，同时可绑定邮箱配置预警通知，你在安装、更新依赖时如果命中已标记的恶意包，会直接收到实时提醒。

针对你提到的npm官方站点没有展示风险警示的问题，补充说明如下：
npm首页仅推送影响范围极广的重大恶意包事件，普通影响范围的事件不会在首页展示；包详情页的恶意红牌警示需要官方安全团队完成事件核实后才会标注，存在一定的时间差，这类事件的预警信息会在官方安全公告板块第一时间更新。

内容的提问来源于stack exchange，提问作者Jeandré