NPM's release cooldown is security theater7 hours agohttps://blog.outv.im/2026/npm-cooldown-security-theater/发布冷却期（例如，npm为7天，pnpm为3天）正被用作安全措施，但它们无效且构成安全剧场。假设社区会在冷却期间审查软件包是有缺陷的：没有人愿意成为早期采用者，导致人人都在等待他人（等待戈多）。自动更新软件包的CI/CD流水线没有帮助，因为恶意代码要么未被注意，要么在检测前成功，而且开发者通常未经检查就安装。推荐的解决方案是：在安装之前，使用静态分析工具、沙箱、主机入侵防御系统和LLM辅助审计主动扫描和审计代码（自行研究）。