现代网站不只是「写出来」，更是「组装出来」：框架、函式库、外挂与套件，大多来自开源社群。这种便利，却同时成为新的攻击面。2026 年 3 月，广泛使用的 axios 函式库在 npm 上遭到入侵；5 月，一场有组织的攻击波及超过 170 个 npm 套件，包括 TanStack 与 Mistral AI 的函式库。Sonatype 记录到，单是 2026 年第一季便出现 21,764 个恶意开源套件，而 Google 引述的 OpenSSF 数据亦显示，恶意套件数量在 2024 至 2025 年间增加了 1,444%。了解这个趋势，已是网站开发网络安全的基本功。
问题不在开源本身
开源依然是稳健的选择。公开的程式码可以由成千上万人检视，亦让企业比从零开发更快上缐。真正的风险在于缺乏管理：安装无人审核的套件、自动信任每一次更新，以及不清楚网站究竟部署了什么。攻击者愈来愈多地利用受信任的维护者帐户及发佈流程，而不是发明新的漏洞。我们有关自行开发或采购与第三方整合的文章，说明了如何衡量取捨。
香港的情况
在本地，趋势相当清晰。香港数字政策办公室指出，2026 年上半年与黑客入侵相关的个人资料外洩个案按年上升 66%，並警告 AI 正令攻击更具威力。HKCERT 的《香港网络安全展望 2026》则录得保安事故按年增加 27%，将 AI 相关攻击与供应链风险列为首要关注，並发现近 30% 的企业沒有专责的网络安全人员。对于中小企，我们的中小企网站安全指南与 2026 年资料私隐是实用的起点。
可立即采取的步骤
以锁定档固定依赖套件的版本，更新前先作审阅，而不是盲目自动更新。为 npm、GitHub、主机及 CMS 帐户启用多重验证，並了解双重验证与良好密码习惯的作用。移除不再使用的套件，並尽量避免在建置流程中存放机密资料。同时要保护好 API 连接，因为整合愈多，暴露面愈大。最后，定期进行扫描，並学会排定修復优先次序，让关键问题先得到处理。保持精简而经过考虑的依赖套件，亦是度身订造开发往往比大量套用模板更安全的原因之一，我们在免费建站工具一文中亦有讨论。
