@typescript-eslint-plugin安全风险排查及CRA构建环境移除可行性问询

前置澄清 #

已废弃的TSLint由Palantir开发维护，目前主流使用的typescript-eslint是独立社区运营的开源项目，二者维护主体没有从属关系，不要混同二者的风险判定。

一、数据泄露风险排查方法 #

• 校验依赖完整性：运行npm audit或yarn audit扫描已知公开漏洞，执行npm ls @typescript-eslint/parser核对依赖树，确认安装的包来自可信源，未被镜像源篡改。
• 静态扫描源码：直接打开node_modules下的@typescript-eslint相关包目录，搜索fetch、XMLHttpRequest、http.request等网络请求关键字，正常的parser仅承担语法解析功能，不会包含任何对外网络请求逻辑。
• 构建环节抓包验证：本地执行build命令时开启抓包工具，监测整个构建过程是否存在未知对外请求，确认无业务敏感数据外传行为。
• 管控自定义规则：你提到的AST扫描注入监听逻辑的风险，仅存在于自行引入的第三方恶意ESLint规则中，官方维护的核心包不存在此类逻辑，日常使用不随意安装来源不明的ESLint规则包即可规避。

二、依赖排除与CRA构建兼容方案 #

• 基础结论：@typescript-eslint相关包均属于开发依赖，生产环境部署时仅安装dependencies依赖的话，这类包本身不会出现在生产环境的node_modules目录中，不存在生产环境风险。
• 如需在开发环境彻底移除该依赖，可按以下步骤操作：
  1. 配置环境变量DISABLE_ESLINT_PLUGIN=true，CRA的build和dev流程都会跳过ESLint校验环节，不再加载任何@typescript-eslint相关代码。
  2. 若要完全卸载对应包，可执行npm run eject暴露CRA内置配置，删除webpack配置中所有ESLint相关插件后，即可将所有@typescript-eslint/*包从package.json的依赖中彻底移除，不会影响正常构建流程。

内容的提问来源于stack exchange，提问作者Rastefan