时刻惊醒，即便是开源软件也会有上流依赖包投毒的情况