一个253字节的包，骗了我整个晚上

耗时4小时、尝试20次后，我发现npm上最离谱的包

一个被空壳包诈骗的深夜

---

2026年3月15日凌晨，我想安装 OpenClaw。

然后经历了人生最荒诞的4小时。

---

第一步：卡住

npm install -g openclaw

依赖 @whiskeysockets/libsignal-node，需要从 GitHub 下载。

我的网络：❌

---

第二步：换镜像

npm config set registry https://registry.npmmirror.com

下载成功，安装时：还是去 GitHub。

---

第三步：force

npm install -g openclaw --force

失败。凌晨3点。

---

第四步：降级

npm view openclaw versions

好家伙，0.0.1 到 2026.3.13 都有！

npm install -g openclaw@0.0.1

安装成功！

---

第五步：反转

$ openclaw --help
'openclaw' 不是内部或外部命令

安装目录：

index.js      (21 字节)
package.json  (193 字节)
README.md     (39 字节)
总计：253 字节

0.0.1 是个空壳！

---

总结

❌	✅
低估 GitHub 依赖的顽固性	使用淘宝镜像
没想到空壳包真的存在	尝试 --omit=optional
熬夜伤身	及时放弃

---

成功安装的唯一途径

# 1. 连接到能访问 GitHub 的网络

# 2. 执行安装
npm install -g openclaw --omit=optional

# 3. 验证
openclaw --version

---

😢

有些墙，不是技术能解决的。

有些夜，注定是白熬的。

但至少，我们知道了 0.0.1 是个骗子。

---

本文由一个不愿透露姓名的受害者原创，发布于2026年3月15日凌晨