​ 3 月 31 日，AI 圈出了件大事：npm 生态的核心依赖库 Axios 被投毒了。 恶意版本自动下载远控木马，Windows、Linux、macOS 全中招，年下载量超 36 亿次的基础组件啊

2026年3月31日，npm 最流行的 HTTP 客户端库 axios 遭遇供应链攻击，两个恶意版本已发布。每一个用 axios 的前端/Node.js 项目都必须立即检查！ 📢 事件回顾 攻击时间线

主流 JavaScript 库 Axios 的两个 npm 版本（1.14.1 和 0.30.4）被恶意植入远程控制代码

Axios 作为周下载超亿次的前端最主流 HTTP 请求库，于 2026年3月30日 被曝出 npm 上两个恶意版本：axios@1.14.1 和 axios@0.30.4，属于极高危供应链攻击。 核

只要你在 **2026-03-31 00:21 ~ 03:15（UTC）**  这个窗口内执行过 `npm install`，且拉取到了上述版本，你的小龙虾可能已经中招你却不知道

2026年3月31日，著名云安全平台 StepSecurity 监测到，在 JavaScript 生态系统中最受欢迎的 HTTP 客户端库 Axios（每周下载量超 3 亿次）遭遇了严重的供应链攻击。

作为一名前端开发工程师，我经常被问到："为什么我的网站需要HTTPS？HTTP不是用得好好的吗？"今天，我们就来聊聊这个看似简单却至关重要的话题。