PyPi

这种写法是什么意思呢？实际上这叫做可选的额外依赖(extras)。有一些功能比较强大的第三方库，他需要安装很多依赖。但是如果我只需要使用其中的特定某个功能，那么实际上只需要安装这个功能需要的依赖就可以了。

这种事件并非 NPM 独有，Python 的包管理 PyPI 也曾受到恶意包的困扰，参考 https://www.scmagazine.com/brief/info-crypto-stealing-python-packages-proliferate。

今年3月，Unit 42的研究人员在Python Package Index(PyPI)包管理器上发现了6个恶意包。恶意软件包旨在窃取Windows用户的应用程序凭据、个人数据和加密钱包的跟踪信息。

在分析师观察到的案例中，下载的仿冒PyPi库配置命令恶意软件将主机招募到 DDoS 机器人中，该机器人反恐精英开始向游戏反恐精英（CounterStrike）1.6 服务器发送流量攻击。