refactor: replace urllib

[yantze]

Types

• 🪚 Refactors

Background or solution

处理插件市场高危漏洞

1. 重构使用 node-fetch 获取插件信息。urllib 低版本高危漏洞，新版本不兼容 webpack 所以只能替换了
2. 重构 cleanup 使用异步方法。

close #317

Changelog

• replace urllib

[CLAassistant]

All committers have signed the CLA.

[yantze]

cleanUp 会在有些情况抛出异常，导致插件不能正常安装成功，同步的方法会直接中断安装进程。

[codecov-commenter]

Codecov Report

Merging #305 (b283eb4) into main (6146569) will increase coverage by 0.00%.
The diff coverage is 0.00%.

@@           Coverage Diff           @@
##             main     #305   +/-   ##
=======================================
  Coverage   59.33%   59.33%           
=======================================
  Files        1182     1182           
  Lines       72666    72665    -1     
  Branches    15056    15056           
=======================================
  Hits        43116    43116           
+ Misses      26929    26928    -1     
  Partials     2621     2621           

Impacted Files	Coverage Δ
...xtension-manager/src/node/vsx-extension.service.ts	0.00% <0.00%> (ø)

---

Continue to review full report at Codecov.

Legend - Click here to learn more
Δ = absolute <relative> (impact), ø = not affected, ? = missing data
Powered by Codecov. Last update 6146569...b283eb4. Read the comment docs.

[hacke2]

具体是什么高危漏洞？我理解 urllib 现在还是维护的

[yantze]

具体是什么高危漏洞？我理解 urllib 现在还是维护的

之前讨论过的，urllib 最新版本用了 pac-resolver，处理一个高危漏洞，但这个包会导致 webpack 打包异常

[yantze]

具体是什么高危漏洞？我理解 urllib 现在还是维护的

看看这个漏洞信息 https://github.com/opensumi/ide-electron/security/dependabot

[hacke2]

和 urllib 有啥关系？

[yantze]

• 「使用 proxy-agent 的 4.x 版本有那个远程执行的漏洞」
• 「urllib->proxy-agent->pac-proxy-agent->pac-resolver->degenerator，degenerator 这个包升级后使用了 vm2 来执行一些可能不受信任的代码，vm 的动态执行的逻辑，没法被 webpack 打包吧」

[yantze]

• 「使用 proxy-agent 的 4.x 版本有那个远程执行的漏洞」
• 「urllib->proxy-agent->pac-proxy-agent->pac-resolver->degenerator，degenerator 这个包升级后使用了 vm2 来执行一些可能不受信任的代码，vm 的动态执行的逻辑，没法被 webpack 打包吧」

@hacke2

[hacke2]

我怎么感觉给 urllib 提 PR 更合适。。

[yantze]

我怎么感觉给 urllib 提 PR 更合适。。

他们就是那样设计的，除非要改他们的 agent 架构，这种基础包修改对他们来说影响太大了

[erha19]

LGTM

[erha19]

@yantze 冲突了，处理一下