阻擋惡意指令碼於安裝階段

開發者常面臨一個隱形危機：NPM套件中的惡意安裝指令碼可能在主要功能使用前就執行，進而竊取環境憑證。GitHub新推出的Package Firewall設在開發環境與上游儲存庫之間，不僅處理下載請求，還檢查查詢資訊。企業管理員設定安全政策後，系統會比對GitHub Advisory Database，封鎖已知惡意套件或依漏洞嚴重程度阻擋特定版本，確保未經預期的preinstall或postinstall指令不會隨意執行。

版本冷卻期與例外申請機制

除了靜態檢查，防火牆引入「版本冷卻期」動態防護。企業可設定新發布套件必須經過指定天數才能安裝，官方文件顯示預設為1天，範圍可調至1至365天或關閉。這能避免剛上架、未經充分測試的版本立即進入建置環境。若必要套件遭阻擋，使用者可提出例外申請，由管理員審核放行。此外，系統也會監控SLSA建置來源證明是否在新版中消失，強化供應鏈透明度。

僅限企業雲端且預覽免費

目前Package Firewall僅支援NPM套件，適用對象為GitHub Enterprise Cloud及其資料駐留版本客戶。公開預覽期間完全免費，但GitHub表示正式上市後將依使用量收費，計費模式類似GitHub Actions，具體費率尚未公布。對於重視供應鏈安全的企業而言，這是一道在安裝前攔截風險的重要防線，值得提前評估導入可行性。