NPM 中断了 2.5 小时

  • Abel Avram
  • 薛梦迪

2016 年 4 月 17 日

话题:开源JavaScript语言 & 开发

根据 npm 的创建者Isaac Z. Scheduler 所述,两天前 npm 的注册表开始报告每分钟有数以百计的编译失败。全世界的用户都不能安装或编译特定的 Node.js 包。有几千个依赖包损坏,包括 Babel、Atom、Ember、React Native 和许多其他依赖于 line-numbers 而不能使用的包。发生了什么?

软件工程师Azer Koçulu是 273 个 Node.js 依赖包的作者,其中包括kikleft-pad,left-pad 是一个 11 行的用来在左边填入字符串的方法。几周前,Kik联系了 Azer。这个公司开发了一个拥有 27000 万用户的通信应用,并且在许多国家使用自己的名字注册了商标。他们打算用自己的名字发布一个 npm 包,但是发现以此命名的包已经存在。所以他们联系了 Koçulu 来寻求一个友善解决此问题的方法,但是他们意见没有统一。Kik 公司联系了 npmjs 来解决这个冲突,如Dispute Resolution中详细说明。npmjs 表示支持 Kik,因为他们有很大数量的用户:

这个决策的首要目标是:给 npm 用户提供他们所希望的包。这包括了滥发、网域抢注、令人误解的包名字,还有许多例如这次的更复杂的情况。在此基础上,我们总结出,名为“kik”的包应该被 Kik 公司所有,并通知了双方这个决定……

考虑到两个包在竞争 kik 这个名字,我们相信,大量输入 npm install kik 的用户将会十分困惑,他们中可能会有超过 20000 万用户收到与通信应用没有关系的代码。

所以,npmjs 决定将包名的所有权转交给 Kik 公司。Koçulu 对结果不是很满意,他写道:

这样的情况让我感觉到 NPM 是某人的私人领土,在其中,公司比个人更强大,而我做开源的软件是因为 [它给予] 人们力量。

并且,他还决定将他所有的模块都下架,包括 kik 和 left-pad,这是一个完全没有预料的决定,并且 npmjs 也没有做好准备。因为许多重要的包通过 line-numbers 依赖于 left-pad,所以编译失败了。他们本身预期的行动是 Koçulu 将他的包版本 0.0.3 保留在注册表中,然后 Kik 在同一名下用一个不同的版本号加入他们自己的包,例如 1.0.0。那么所有依赖于 0.0.3 版本的包则可以如往常一样正常运转。

为了尽快修复这个问题,npmjs 决定重新发布 left-pad,因为“left-pad 是开源的,并且我们允许任何人使用已弃用的包名,只要他们不再使用同一个版本号”。接下来很快 npm 的生态系统就恢复到了正常状态。为了避免将来再发生同样的情况,npmjs 决定将来将包变得更难下架,或令恶意使用已弃用的包名变得更难。但是这还留下了一些问题。

Koçulu 决定停止在 npmjs 上发布他的工作,并且希望“开源社区能最终为 NPM 开设一个真正自由的环境”。他还为他的行为所造成的影响道了歉。很多人分享了他在TwitterHacker NewsReddit或其他网站上的定位。有些人渴望有一天能像 Koçulu 一样“破坏 Internet”,但是也有一些其他人认为他的行为是不负责任的。JavaScript 的生态系统脆弱吗?有人同意这个观点,其他人则举了这次的例子作为反驳,他们强调了在问题出现的时候 npmjs 能被修复的速度之快。有些人则质疑人们是不是忘记了如何编程。因为他们依赖于一个任何人都能在几分钟之内写出来的 11 行代码的包。

并且,依赖于一个独立集中式的库安全吗?有些人提出了一个分散式的模块推送系统。也许最近的事件将会促使社区做一些这方面的改变。

查看英文原文NPM was Broken for 2.5 Hours


感谢张龙对本文的审校。

给 InfoQ 中文站投稿或者参与内容翻译工作,请邮件至editors@cn.infoq.com。也欢迎大家通过新浪微博(@InfoQ@丁晓昀),微信(微信号:InfoQChina)关注我们。

开源JavaScript语言 & 开发