現代網站不只是「寫出來」，更是「組裝出來」：框架、函式庫、外掛與套件，大多來自開源社群。這種便利，卻同時成為新的攻擊面。2026 年 3 月，廣泛使用的 axios 函式庫在 npm 上遭到入侵；5 月，一場有組織的攻擊波及超過 170 個 npm 套件，包括 TanStack 與 Mistral AI 的函式庫。Sonatype 記錄到，單是 2026 年第一季便出現 21,764 個惡意開源套件，而 Google 引述的 OpenSSF 數據亦顯示，惡意套件數量在 2024 至 2025 年間增加了 1,444%。了解這個趨勢，已是網站開發網絡安全的基本功。
問題不在開源本身
開源依然是穩健的選擇。公開的程式碼可以由成千上萬人檢視，亦讓企業比從零開發更快上線。真正的風險在於缺乏管理：安裝無人審核的套件、自動信任每一次更新，以及不清楚網站究竟部署了什麼。攻擊者愈來愈多地利用受信任的維護者帳戶及發佈流程，而不是發明新的漏洞。我們有關自行開發或採購與第三方整合的文章，說明了如何衡量取捨。
香港的情況
在本地，趨勢相當清晰。香港數字政策辦公室指出，2026 年上半年與黑客入侵相關的個人資料外洩個案按年上升 66%，並警告 AI 正令攻擊更具威力。HKCERT 的《香港網絡安全展望 2026》則錄得保安事故按年增加 27%，將 AI 相關攻擊與供應鏈風險列為首要關注，並發現近 30% 的企業沒有專責的網絡安全人員。對於中小企，我們的中小企網站安全指南與 2026 年資料私隱是實用的起點。
可立即採取的步驟
以鎖定檔固定依賴套件的版本，更新前先作審閱，而不是盲目自動更新。為 npm、GitHub、主機及 CMS 帳戶啟用多重驗證，並了解雙重驗證與良好密碼習慣的作用。移除不再使用的套件，並盡量避免在建置流程中存放機密資料。同時要保護好 API 連接，因為整合愈多，暴露面愈大。最後，定期進行掃描，並學會排定修復優先次序，讓關鍵問題先得到處理。保持精簡而經過考慮的依賴套件，亦是度身訂造開發往往比大量套用模板更安全的原因之一，我們在免費建站工具一文中亦有討論。
