一条顺手复制的安装命令，可能把钱包签名库装成仿冒版本。本文讲清仿冒拼写与依赖混淆两种投毒路径、恶意包拿到安装后钩子后能做什么，以及锁文件、私有命名空间与安装审查的实操防线。