Config 文件正在悄悄变成“可执行代码”——这不是科幻，而是供应链安全的新盲区。HackerNews 热帖指出，大量现代工具（如 CI/CD 管道、包管理器、编辑器插件）允许在 YAML、TOML、JSON 等配置文件中嵌入脚本或钩子，攻击者可以借此在开发者机器或构建服务器上“合法”执行恶意命令，而传统安全扫描往往忽略这些非二进制文件。

**1. 技术盲点：配置即代码，安全却没跟上**
过去我们只关心依赖库是否有漏洞，现在攻击者把目光转向了 `pre-commit` 钩子、`npm postinstall` 脚本、Dockerfile 中的 `RUN` 指令，甚至 VS Code 的 `tasks.json`。这些配置文件看似“静态”，实则能触发任意代码执行。海外安全社区讨论称，这类攻击比直接投毒依赖更难检测，因为配置文件常被当成“无害元数据”绕过审计。

**2. 商业启示：安全产品的新战场**
Safedep.io 的这篇文章点出一个机会：现有 SCA（软件组成分析）工具几乎不扫描配置文件的执行能力。如果国内安全厂商能率先推出“配置行为分析”能力——比如检测 YAML 中是否嵌入了 `curl | bash` 模式，或识别 CI 流水线中的隐蔽命令注入——这将是差异化竞争点。

**3. 对国内开发者：立即自查三个场景**
- 你的 CI 配置文件（GitHub Actions、Jenkins）是否允许从外部 URL 下载并执行脚本？
- 项目中的 `.npmrc`、`.piprc` 是否被团队审查过？
- 编辑器插件或 devcontainer 的 `postCreateCommand` 是否依赖不可信来源？

**我的看法：** 当“配置”变成“代码”，安全思维必须从“扫描依赖清单”升级为“审计所有可执行路径”。国内开源生态正在爆发，别让配置文件的“信任默认值”成为下一个 Log4j。

#日报# #科技前沿#