安全防护正在变成"标配"

以前啊，代码安全这事基本都靠开发者自己操心。租好服务器，装好依赖，剩下的就看你自己会不会主动去打补丁了。

但现在情况有点不一样了。

Hostinger 跟 Patchstack 搞了个合作，直接在主机层面帮你扫 npm 包的安全问题。上线才几周，直接揪出了超过一万个网站存在的漏洞。上万个啊，这数字挺吓人的，而且已经有几千个站点的 owner 把问题修复了。

这事跟开发者有什么关系

说个扎心的事实：大多数安全漏洞根本不是什么高级黑客攻击，就是你 node_modules 里那些老掉牙的依赖包。

2021 年的 Log4Shell 事件还记得吧？那次让多少公司损失惨重。其实根源就是一个谁都没注意到的间接依赖——你自己都不知道它在那儿。

现在不一样了。主机商开始管起 package 级别的安全问题，整个安全逻辑就变了。以前靠开发者自己去翻安全公告、记着跑 npm audit，现在系统直接告诉你哪个包有问题，很多情况下在你发现之前就已经通知你了。

Hostinger 具体怎么做的

简单说就是把 Patchstack 的漏洞检测直接嵌进了 Hostinger 的基础设施里。不用你手动扫，也不用装什么第三方安全工具，它自动分析所有托管网站的 npm 包。

好处挺明显的：

• 一直盯着：新发现的漏洞随时报告给你，不只是装完环境扫一遍就完事
• 不用折腾：告警直接推给你，不用额外装工具配置环境
• 告诉你优先级：哪些漏洞真正要命，哪些可以先放着，一目了然

对开发者友好吗

安全这事要想真正推广开，就不能太碍事。

从目前的情况看，Hostinger 走的是通知路线，不是直接封你的站。看到哪个包有问题，告诉你原因和修复方法，你自己决定怎么处理。

这样做是对的。如果一发现漏洞就把网站封了，那正经做生意的公司全得乱套。目的是让你知道问题、然后去解决，不是拦着你不让你上线。

这会是以后的标准操作吗

Hostinger 不是唯一在琢磨这事的主机商，但确实走在前面。随着安全事件越来越多、公司损失越来越大，可以预见会有更多服务商跟进类似的做法。

所以现在选主机，光看速度和网络稳定不够了。平台会不会主动帮你盯着依赖包，这个得纳入考量。一个愿意帮你"看家护院"的，比那种"你自己看着办"的要靠谱得多。

说白了

一万多个站点几周内被标记出问题，说明什么？说明有漏洞的包到处都是——很多站长还以为自己网站挺安全呢。

问题不是"你的代码有没有问题"，而是"你能不能比别人先发现"。

npm 自动扫描代表了一种思路的转变：主机商的价值不再只是提供快的服务器和好看的 uptime 数字，而是要真正保护好跑在你那台机器上的东西。

不管你现在用没用 Hostinger，建议你抽空跑一下 npm audit。结果可能会让你意外。

你有没有收到过类似的安全警告？对主机商主动管安全这事怎么看？欢迎留言聊聊。