Axios 刚被投毒了：一次普通的 npm update，怎么就可能把后门请进公司电脑

axios 这次中招，不是代码里多了几行恶意逻辑，而是有人用被盗的维护者账号发了带后门依赖的版本。对开发者来说，这件事最吓人的地方不是‘某个包出事了’，而是你一次看起来再普通不过的 npm update，也可能直接把机器送进事故现场。