D'event-stream à Shai-Hulud, huit ans d'attaques forcent npm à se verrouiller