面试作业跑一下，电脑就被人接管了！加了 --ignore-scripts 也白搭？假面试项目在你敲下 npm run dev 那刻就动手了

大白话事情是这样的：有人收到一份看起来挺正规的面试作业，让你把项目跑起来看看。你可能会习惯性加个 --ignore-scripts 参数，觉得不执行安装脚本就安全了。但这份仓库里，恶意代码写在 tailwind.config.js 里，它加载一个公开插件，插件又依赖一个私有包，私有包靠仓库里提交的 npm token 才能拉下来。等你 npm run dev 启动开发服务器，Tailwind 一读配置，代码就执行了，还能拿到完整的 Node.js 权限。更阴的是，仓库里还附了 AGENTS.md 和 CLAUDE.md，专门写给帮你检查代码的 AI 看，诱导它先去装依赖。

对你意味着正在找工作、接面试作业的开发者，尤其是习惯让 AI 助手先帮忙扫一遍仓库的人，都该看看。干净的扫描结果不等于安全。