若npm ls axios显示1.14.x或挂载crypto-js-like等未声明包，说明依赖树已被污染，须立即阻断；应通过package.json overrides强制锁定axios为1.6.7，或删node_modules与lock后重装，并关闭AionClaw自动补全依赖功能。
☞☞☞AI 智能聊天, 问答助手, AI 智能搜索, 多模态理解力帮你轻松跨越从0到1的创作门槛☜☜☜
前端修改时不小心引入 axios@1.14.1 这类被投毒版本，会直接触发恶意 postinstall 脚本执行，本地机器在 npm install 完成瞬间就已失陷，且构建日志完全无异常痕迹。
确认当前依赖是否干净
进入项目根目录，运行：
npm ls axios
若输出中出现 1.14.x 小版本号，或其下方挂有 crypto-js-like、@encrypt-utils 等未主动声明的包，【说明依赖树已被污染，必须阻断】。不要依赖 package.json 里写的 "axios": "^1.6.0" —— lock 文件里解析出的实际版本才作数。
锁定 axios 版本并切断污染路径
方法一：用 overrides 强制指定安全版本（推荐）
在 package.json 的顶层添加 overrides 字段：
立即学习“前端免费学习笔记（深入）”；
"overrides": {
"axios": "1.6.7"
}
这一步必须写在 package.json 根对象下，不能放在 devDependencies 或 resolutions 里。1.6.7 是目前经验证未被投毒、且与 OpenClaw 主干兼容的最高新版。
方法二：删除 node_modules + lock 文件后重装
先执行 rm -rf node_modules package-lock.json，再运行 npm install —— 此操作会清空所有缓存解析路径，强制重新走 registry 源解析。但注意：【如果镜像源本身已同步污染包，此法无效】，务必配合方法一使用。
禁用前端自动依赖注入机制
第一步：打开 AionClaw 设置面板 → 进入「开发模式」→ 关闭「自动补全依赖提示」开关。
第二步：在项目根目录创建 .aionrc 文件，写入以下内容：
{
"autoInstallOnImport": false,
"suggestUnsafePackages": false
}
第三步：重启 AionClaw 客户端。这三步做完后，当你在编辑器里输入 import axios from 'axios'，AionClaw 不再弹窗问“是否自动安装”，也不会在保存时偷偷执行 npm install axios@latest。
这一步的关键在于阻断“人肉引入 → 工具自动补装 → 拉取恶意版本”的链路。很多开发者以为只是自己敲了 import，其实背后是 AionClaw 在帮你一键装包——而它默认拉的是 latest，正好撞上投毒窗口期。
