Gatsbyリソースの検証
ここで扱うReactフレームワークはGatsbyであり、gatsbyjs.comはその公式ウェブサイトです。ソフトウェアをダウンロードしたり、セットアップ手順に従ったり、コミュニティスペースに参加したりする前に、プロジェクトが公開しているドキュメント上のリソースとリンクを照合することで、訪問者はなりすましやパッケージの取り違えによるリスクを軽減できます。
公式の確認先
| リソース | 確認する内容 |
|---|---|
| ウェブサイトとドキュメント | ホスト名がgatsbyjs.comであること、接続にHTTPSが使用されていること、ドキュメントのリンク先が想定されるGatsbyのドメインまたは明示的にリンクされたサービスドメイン内であること。 |
| ソースリポジトリ | フレームワークのソースとissue管理は、GitHub上のgatsbyjs/gatsbyにあります。 |
| パッケージ | コピーされた第三者のスニペットではなく、最新のGatsbyドキュメントまたはリポジトリに記載されたパッケージ名とインストールコマンドに従います。 |
| Discord | 未依頼の招待ではなく、Gatsbyが公開しているDiscordリンクを使用します。 |
| Discussions | プロジェクトの公式GitHubディスカッション領域として、gatsbyjs/gatsby Discussionsを使用します。 |
1回の確認だけで、ウェブサイトやパッケージに永続的な安全性ラベルを付けるべきではありません。ドメインは変更される可能性があり、アカウントは侵害される可能性があり、依存関係には脆弱性が生じる可能性があり、コミュニティのメッセージには誤解を招く助言が含まれる場合があります。検証はリソースを使用するときに行うべきです。
実践的な注意事項
- インストールコマンドは実行前に確認してください。特に、昇格された権限を要求するコマンドや、環境変数を公開するコマンドには注意が必要です。
- パッケージのスコープ、バージョン、公開者情報、リンク先リポジトリを確認します。
- コミュニティチャットに貼り付けられたコードは、ローカルで内容を理解するまで未レビューとして扱います。
- シークレットを公開issue、Discussions、ビルドログ、共有の再現用プロジェクトに含めないでください。
- 通常の保守作業の一環として、依存関係の更新とセキュリティ通知を確認します。
これらの確認によって出所を確かめ、回避可能なリスクを軽減できます。すべてのGatsbyページ、パッケージ、プラグイン、コントリビューターの投稿、第三者統合が特定のプロジェクトに適していることを保証するものではありません。
