{"id":182580,"date":"2026-07-09T22:53:44","date_gmt":"2026-07-09T20:53:44","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/v-npm-12-0-po-umolchaniyu-otklyuchyon-zapusk-skriptov-pri-ustanovke-paketov"},"modified":"2026-07-09T22:53:44","modified_gmt":"2026-07-09T20:53:44","slug":"v-npm-12-0-po-umolchaniyu-otklyuchyon-zapusk-skriptov-pri-ustanovke-paketov","status":"publish","type":"post","link":"https:\/\/prohoster.info\/da\/blog\/news\/v-npm-12-0-po-umolchaniyu-otklyuchyon-zapusk-skriptov-pri-ustanovke-paketov","title":{"rendered":"I NPM 12.0 er k\u00f8rsel af scripts ved installation af pakker som standard deaktiveret","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
Udgaven version 12.0 af NPM-pakkeh\u00e5ndtereren, der er en del af Node.js og bruges til distribution af moduler p\u00e5 JavaScript. Den nye version er bem\u00e6rkelsesv\u00e6rdig for at have deaktiveret standardk\u00f8rslen af scripts under installation af pakker. \u00c6ndringen forventes at komplicere angreb gennem kompromittering af afh\u00e6ngigheder og bremse spredningen af orme, der aktiveres fra installationsscripts. <\/p>\n
Forbrydelse af automatisk k\u00f8rsel af scripts angivet i package.json via preinstall, install eller postinstall-parametre, er indstillingen allowScripts som standard sat til 'off'. Udf\u00f8relse af s\u00e5danne scripts samt kompilering af C\/C++ kode med node-gyp v\u00e6rkt\u00f8jet, n\u00e5r der findes en binding.gyp fil i pakken, udf\u00f8res nu kun efter en eksplicit anmodning fra brugeren. Derudover er indstillingerne '--allow-git' og '--allow-remote' som standard nu sat til 'none', hvilket deaktiverer automatisk download af afh\u00e6ngigheder fra Git-repositorier og direkte links til websteder med tar-arkiver. <\/p>\n
Til at organisere udf\u00f8relsen af installationsscripts skal kommandoen 'npm approve-scripts' bruges, hvor navnene p\u00e5 betroede pakker eller muligheden '--all' som argument gives for at tillade alle pakker. For tvivlsomme pakker anbefales det at k\u00f8re kommandoen 'npm approve-scripts --allow-scripts-pending', som vil vise en liste over scripts, der s\u00f8ger om at blive k\u00f8rt. Efter at have gennemg\u00e5et disse scripts kan de tillades med kommandoen 'npm approve-scripts' og tilf\u00f8jes til hvidlisten i package.json. <\/p>\n
Desuden er det blevet annonceret, at brugen af GAT-adgangstokens (Granular Access Tokens) i NPM-repositoriet er forbudt, n\u00e5r de er konfigureret til at udf\u00f8re handlinger uden to-faktor-autentificering (2FA). Fra august vil s\u00e5danne tokens ikke tillade operationer som oprettelse eller sletning af tokens, \u00e6ndring af profil, adgangskode eller email, konfiguration af to-faktor-autentificering, generering af gendannelseskoder, \u00e6ndring af adgangsrettigheder og administration af tilknyttede handlinger uden yderligere manuel bekr\u00e6ftelse. <\/p>\n
I januar 2027 planl\u00e6gges det at forbyde direkte offentligg\u00f8relse af pakker, der bruger tokens, som omg\u00e5r 2FA. Pakkerne vil dog kunne offentligg\u00f8res i staging-delen, hvor de vil forblive indtil manuel bekr\u00e6ftelse af frigivelsen fra den ansvarlige. Efter manuel bekr\u00e6ftelse vil de offentliggjorte pakker blive tilg\u00e6ngelige for installation af brugerne. <\/p>\n
Til automatisk offentligg\u00f8relse anbefales det at bruge mekanismen 'Trusted Publishers', baseret p\u00e5 standarden OpenID Connect (OIDC) og tidsbegr\u00e6nsede autentificeringstokener, som udveksles mellem eksterne tjenester og pakkekataloget for at bekr\u00e6fte offentligg\u00f8relsesoperationen i stedet for at bruge traditionelle adgangskoder eller permanente API-adgangstokener. \n Kilde: opennet.ru<\/a> <\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"