实测 axios 投毒残留:毒版本遭 registry 抹除、无法验尸;lockfile 的 SHA512 只保证一致、防不了投毒;npm audit 在镜像源没实现。23 个依赖 0 个