Số 433Quản lý Nguồn lực

colors.js và faker.js (2022): tác giả tự phá hai thư viện npm và rủi ro khi người duy trì bất mãn

Đầu tháng 1/2022, người duy trì hai thư viện npm phổ biến colors (hơn 20 triệu lượt tải mỗi tuần) và faker phát hành các phiên bản cố ý gây lỗi — vòng lặp vô hạn in ký tự rác — làm hỏng nhiều ứng dụng. Trước đó, năm 2020, anh từng tuyên bố không làm miễn phí cho các công ty lớn nữa. faker sau đó được một nhóm tình nguyện tách nhánh và duy trì. Bài học về động lực của người đóng góp và phụ thuộc vào nguồn lực bên ngoài.

Nguyễn Thu Hà, PMP

12/09/2026

3 phút đọc 0

Bình luận0

Bối cảnh thực tế

colors giúp tô màu chữ trên terminal; faker sinh dữ liệu giả cho kiểm thử. Cả hai đều là thư viện nhỏ nhưng được dùng rất rộng rãi, chủ yếu do một người là Marak Squires duy trì.

Theo BleepingComputer:

colors có hơn 20 triệu lượt tải mỗi tuần và gần 19.000 dự án phụ thuộc; faker có hơn 2,8 triệu lượt tải mỗi tuần và hơn 2.500 dự án phụ thuộc.
Tháng 11/2020, tác giả viết rằng sẽ không còn hỗ trợ miễn phí các công ty Fortune 500 nữa, và đề nghị họ ký hợp đồng trả phí hoặc tự tách nhánh.
Khoảng ngày 8/1/2022, colors phát hành phiên bản chứa vòng lặp vô hạn in ra ký tự vô nghĩa; faker phát hành phiên bản 6.6.6 bị phá. Các ứng dụng tự cập nhật lên bản mới bị treo.
GitHub được cho là đã tạm khoá tài khoản của tác giả. Ngày 13/1/2022, các phiên bản bị phá được gỡ khỏi npm.
Mã faker được một nhóm tình nguyện độc lập tách nhánh và duy trì tiếp tại fakerjs.dev.

Phân tích nguyên nhân theo chuẩn PMP

Tín hiệu bất mãn xuất hiện từ trước hơn một năm
Tuyên bố năm 2020 là cảnh báo sớm rõ ràng về động lực của nguồn lực then chốt. Không bên hưởng lợi nào đưa tín hiệu này vào sổ đăng ký rủi ro.
Nguồn lực bên ngoài nhưng quyền kiểm soát tuyệt đối
Một người có quyền phát hành thẳng tới hàng triệu lượt cài đặt mà không có người duyệt thứ hai. Với tổ chức, đây là thành viên "không hợp đồng" nhưng có quyền cao nhất trên một phần sản phẩm.
Tự động nhận phiên bản mới thiếu kiểm soát
Dải phiên bản lỏng (ví dụ ^1.4.0) cho phép bản phá hoại đi thẳng vào build. Đây là lỗ hổng trong kiểm soát cấu hình, không chỉ là vấn đề đạo đức của một cá nhân.
Không có cơ chế chuyển giao khi người duy trì rời đi

colors.js và faker.js (2022): tác giả tự phá hai thư viện npm và rủi ro khi người duy trì bất mãn

Bối cảnh thực tế

Phân tích nguyên nhân theo chuẩn PMP

Tín hiệu bất mãn xuất hiện từ trước hơn một năm

Nguồn lực bên ngoài nhưng quyền kiểm soát tuyệt đối

Tự động nhận phiên bản mới thiếu kiểm soát

Không có cơ chế chuyển giao khi người duy trì rời đi

Lẽ ra PM nên làm gì

Bước 1: Theo dõi tín hiệu từ người duy trì thành phần trọng yếu

Bước 2: Khoá phiên bản và duyệt cập nhật

Bước 3: Đóng góp nguồn lực cho dự án mình phụ thuộc

Bước 4: Chuẩn bị phương án dự phòng

PM Takeaway (Bài học rút ra)

Nguồn tham khảo

Trắc nghiệm tình huống PMP

Theo bạn, ai chịu trách nhiệm chính khi một thư viện miễn phí bị chính tác giả phá?

Tình huống này hữu ích với bạn?

Bình luận (0)