好像是这里引入的: https://github.com/cnpm/bug-versions/pull/257/files
虽然是出于安全考虑，但这样篡改下载地址却影响了存量的 CICD 流程，给开发者造成不便，也破坏了与 NPM 官方源的兼容性（不能自由切换 NPM 源了）。
一直以为淘宝源是官方源的纯净代理呢，没想到竟会做这样的事，看来要慎用了。
同事说用腾讯云、华为云的 NPM 源也遇到过一些坑，看来想找个靠谱的国内 NPM 代理都不容易（前端圈这是怎么了？）。
中科大镜像站有个 NPM 源的反向代理(https://npmreg.proxy.ustclug.org)，似乎是比较纯净的，准备试用下。
