改用户文件系统这种事情还是差不多得了吧 😅（虽然 MIT License 是 no warranty，但是这不妨碍干坏事之后被喷 + 恶名远扬 + 失去所有人的信任）

Node.js 的供应链攻击问题再多来几次，各位前端项目里的 package.json 估计都会把版本号写死了。讲真，pypi 之类的也不是没人下毒，但是好像从来没听说过有很知名的项目被污染的事情。