有人竟然想用社交工程手段诱骗开源维护者把恶意代码合并进项目

这种通过“伪装成热心贡献者”来投毒的套路在开源社区其实不少，但这次 Mythos 的操作细节值得复盘。简单来说，就是攻击者先通过建立一个看起来很专业的虚假身份，在 GitHub 上通过一些无关紧要的小 PR 刷好感度，让维护者觉得这人是个靠谱的开发者，等信任感建立起来后，再在某个核心功能的更新里悄悄塞进后门代码。

很多维护者在审核代码时，如果对方之前的贡献记录很干净，很容易产生心理惯性，导致在 Review 关键逻辑时不够细致。这种攻击比直接暴力破解要难防得多，因为它攻击的是人的心理，而不是系统的漏洞。

如果大家在维护自己的项目或者给大项目贡献代码，建议在审核 PR 时强制执行以下几个实操步骤，防止被坑：

一、 建立严格的 PR 审核清单
不要只看代码能不能跑通，要重点检查所有新增的外部依赖。很多恶意代码是通过引入一个看起来像官方库、实际是投毒库的第三方包来实现的。

二、 强制执行双人审核制
即使是信任的贡献者，涉及敏感权限（如文件读写、网络请求、环境变量读取）的修改，必须由两个不同的维护者签名确认。

三、 使用静态分析工具自动化扫描
在 CI/CD 流程中加入安全扫描，比如用 snyk 或 dependabot 监控依赖风险。

# 简单示例：使用 snyk 扫描项目依赖漏洞
# 首先安装 snyk cli
npm install -g snyk

# 认证并测试项目
snyk auth
snyk test

四、 警惕不自然的“过度热情”
如果一个陌生开发者在短时间内提交了大量低质量但看似在优化代码的 PR，且在沟通中表现得异常客气或急于求成，这时候得提高警惕，重点核查其提交的逻辑细节。

开源精神虽然强调协作和信任，但在安全面前，永远要把“零信任”放在第一位。