Vibe Coding 安装与构建钩子：在依赖执行代码前建立隔离门禁

reviewer 看到新增代码只 import 一个小包，往往先读运行时 API；真正的第一段第三方代码却可能已在 install、postinstall、prepare、原生编译或 bundler 插件阶段执行。它运行在开发机或 CI 权限下，可能读取仓库、环境变量和凭证，也可能联网下载当前 lockfile 没有描述的二进制。等应用启动后再做沙箱已经太晚。

npm 官方脚本文档定义了生命周期和用户脚本语义，pnpm 也提供对允许构建依赖的配置。具体执行顺序和默认策略必须以仓库锁定的包管理器版本为准，不能让 AI 用另一工具的记忆解释当前安装。依赖升级与锁文件兼容门覆盖解析与多环境安装；本篇把审查焦点放在安装/构建期间“哪些代码获得了什么能力”。

从精确制品枚举执行入口

先固定 registry、包名、版本、tarball URL、integrity/摘要和 lockfile 路径。在不执行脚本的取得阶段解包准确制品，读取其中 package.json、入口、bin、native/WASM 文件和 lifecycle scripts；同时遍历实际传递闭包，不只看顶层包。源码仓库当前 main 的脚本不能代替已发布 tarball。

把入口分成几类：纯生成文件、原生编译、平台二进制选择、远程下载、环境探测、遥测/注册，以及无法解释的任意 shell。记录命令、解释器、输入文件、预期输出、网络目的地、环境变量、是否可重复和失败时降级。压缩或拼接脚本不能因为难读就默认接受；标为 UNREVIEWED_EXECUTION。

构建期同样纳入。Vite/Webpack 插件、代码生成器、CSS 处理器、测试环境初始化和文档插件通常拥有 Node 进程权限，可以读取整个仓库。它们未必使用 npm lifecycle hook，却仍在可信构建中执行。用仓库依赖图驱动的改动规划定位哪些 target 加载插件，避免只扫描 scripts 字段。

先禁脚本取得，再按需放行

在隔离探针中先按当前包管理器支持的方式禁止依赖构建脚本，完成解析和制品清单；确认哪些包因此不可用。这个结果用于发现必要 hook，不代表生产可以永久忽略所有脚本。静默禁用一个生成原生绑定或安全数据的 hook，可能得到能安装但运行错误的系统。

随后建立按包和精确版本/摘要的 allowlist，只允许已审入口。pnpm 的 onlyBuiltDependencies 等策略可限制哪些依赖允许运行安装脚本，但配置语义会演进，应锁定工具版本并测试未知包默认行为。直接运行仓库自有 build script 则由独立命令 allowlist 和 CI job 权限控制，不能借依赖 allowlist 自动继承。

试装环境使用无生产秘密的临时工作区、只读源码副本、独立 HOME、最小 PATH、低权限用户、CPU/内存/进程/时间限制和默认拒绝网络。确需下载的 host、路径、摘要和大小预先声明；更稳妥的是从受控缓存提供内容寻址制品。DNS 或代理日志记录实际目的地，但日志不包含认证值。编程 Agent 沙箱权限的文件、命令、网络分权同样适用于 installer。

输入 canary 文件、假凭证和受控网络 sink，观察读取、写入、子进程、网络与退出码。任何越界都阻断，不因为脚本最终生成了正确文件而忽略。对 symlink、工作区父目录、Git 配置、SSH agent socket、云元数据和包管理器 token 做显式隔离；CI 的发布凭证不能出现在普通依赖安装 job。

验证输出可重建且没有隐藏下载

允许脚本运行后，清单化新建/修改文件、native binary、缓存和生成源码，记录摘要与平台。第二次从相同输入重建，比较声明可重复的输出；时间戳或平台差异按规则解释，不能用全目录忽略。运行时 smoke test 确认脚本确有必要，删除 allowlist 条目时应按预期失败，而不是从旧缓存继续成功。

再在无网络环境用已批准缓存重装，验证所有材料都已锁定。若上游脚本每次从 latest、分支 URL 或未校验地址下载，要求上游/内部封装固定摘要，或拒绝依赖。lockfile 的 tarball integrity 只覆盖包制品，不自动覆盖脚本随后取得的内容。

审查 receipt 保存包管理器/运行时版本、lockfile hash、允许脚本清单、制品摘要、观察到的能力、网络/文件差分和测试结果。升级即使不改脚本字符串，也要按新 tarball 重审，因为入口文件或下载目标可能变化。编程 Agent 插件供应链审查展示了更高权限插件的更新围栏；普通依赖沿用“新摘要不继承旧批准”。

最后把本地开发和 CI 行为对齐。Vibe Coding 脏工作树安全改码提醒安装可能生成未跟踪文件或改 lockfile，试装不得污染用户现场；正式更新则由受控命令产生可审 diff。异常时先保留精确制品与日志，再撤销 allowlist，不能用 --force 或开放全部脚本换绿色。

安装成功不是无害证明。只有执行入口可枚举、能力被隔离、必要 hook 有精确 allowlist、动态材料有摘要、输出能从干净环境重建，依赖才有资格在 import 之前运行代码。