记录一下最近遇到的一个糟心事儿。

最近两个月开始又开始找工作机会，总的来说很不顺利，托朋友联系了两个内推也是石沉大海。（各位要是有远程工作的机会也请联系 [email protected] ）

昨天在 Linkedin 上有个 web3 背景的猎头联系我说有个不错的 contract 工作，就是需要先完成一个 code assessment。这个测试放在 notion 上，指向一个 github repo。但实际上，只要你在本地运行 npm start，就会启动恶意脚本，偷偷下载一个 js 脚本并执行。

这个攻击手法相当低劣，低级且恶劣，低级到了随手搜一下 eval 就能发现。

各位都小心一点，不要在本地运行任何来历不明的代码。即使源码里没有搜出可疑的内容也并不可靠，完全可以把攻击代码放在第三方依赖里。vscode 用户可以使用 devcontainer 来执行这些临时项目，能极大的缓解威胁。