Rust arrayref 供应链投毒事件复盘:build.rs 载荷、proc-macro1 typosquat 与 yank 诱导升级
2026 年 8 月 20 日早晨,Rust 生态中累计下载 2.45 亿次的 crate 发布了一个只存活了数小时的新版本。arrayref 全部内容只有四个宏、327 行源码,但它通过 tiny-skia、winit 这条依赖链埋在 egui、iced 等主流 GUI 框架项目的依赖图底部。07:11 UTC,名为 dtolney 的账号发布了 proc…









