{"id":182580,"date":"2026-07-09T22:53:44","date_gmt":"2026-07-09T20:53:44","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/v-npm-12-0-po-umolchaniyu-otklyuchyon-zapusk-skriptov-pri-ustanovke-paketov"},"modified":"2026-07-09T22:53:44","modified_gmt":"2026-07-09T20:53:44","slug":"v-npm-12-0-po-umolchaniyu-otklyuchyon-zapusk-skriptov-pri-ustanovke-paketov","status":"publish","type":"post","link":"https:\/\/prohoster.info\/de\/blog\/novosti-interneta\/v-npm-12-0-po-umolchaniyu-otklyuchyon-zapusk-skriptov-pri-ustanovke-paketov","title":{"rendered":"In NPM 12.0 ist die Ausf\u00fchrung von Skripten bei der Installation von Paketen standardm\u00e4\u00dfig deaktiviert","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
Die Version 12.0 des Paketmanagers NPM wurde ver\u00f6ffentlicht, der Teil von Node.js ist und zur Verteilung von Modulen in JavaScript verwendet wird. Die neue Version zeichnet sich dadurch aus, dass die standardm\u00e4\u00dfige Ausf\u00fchrung von Skripten w\u00e4hrend der Paketinstallation eingestellt wurde. Diese \u00c4nderung soll Angriffe \u00fcber kompromittierte Abh\u00e4ngigkeiten erschweren und die Verbreitung von aus Installationsskripten aktivierten W\u00fcrmern verlangsamen. <\/p>\n
Um die automatische Ausf\u00fchrung von Skripten, die in package.json \u00fcber die Parameter preinstall, install oder postinstall angegeben sind, zu verhindern, ist die Standardkonfiguration allowScripts auf \"off\" gesetzt. Die Ausf\u00fchrung solcher Skripte sowie die Kompilierung von C\/C++-Code mit dem Tool node-gyp, falls eine binding.gyp-Datei im Paket vorhanden ist, erfolgt jetzt nur noch auf ausdr\u00fcckliche Anweisung des Benutzers. Dar\u00fcber hinaus sind die Parameter \"--allow-git\" und \"--allow-remote\" standardm\u00e4\u00dfig auf \"none\" gesetzt, was das automatische Herunterladen von Abh\u00e4ngigkeiten aus Git-Repositories und von direkten Links zu tar-Archiven deaktiviert. <\/p>\n
Um die Ausf\u00fchrung von Installationsskripten zu organisieren, sollte der Befehl \"npm approve-scripts\" verwendet werden, dem die Namen von vertrauensw\u00fcrdigen Paketen oder die Option \"--all\" \u00fcbergeben werden, um allen Paketen die Erlaubnis zu erteilen. F\u00fcr fragw\u00fcrdige Pakete wird empfohlen, den Befehl \"npm approve-scripts --allow-scripts-pending\" auszuf\u00fchren, der eine Liste der Skripte ausgibt, die zur Ausf\u00fchrung anstehen. Nach \u00dcberpr\u00fcfung dieser Skripte k\u00f6nnen sie mit dem Befehl \"npm approve-scripts\" genehmigt und in die Whitelist in package.json aufgenommen werden. <\/p>\n
Dar\u00fcber hinaus wurde ein Verbot f\u00fcr die Nutzung von GAT-Zugriffstoken (Granular Access Tokens) im NPM-Repository angek\u00fcndigt, die so konfiguriert sind, dass sie Aktionen ohne Zwei-Faktor-Authentifizierung (2FA) durchf\u00fchren. Ab August wird es solchen Tokens ohne zus\u00e4tzliche manuelle Best\u00e4tigung nicht m\u00f6glich sein, Operationen wie das Erstellen oder L\u00f6schen von Tokens, das \u00c4ndern von Profilen, Passw\u00f6rtern oder E-Mails, die Konfiguration der Zwei-Faktor-Authentifizierung, die Generierung von Wiederherstellungscodes, das \u00c4ndern von Berechtigungen und die Verwaltung von Begleitdiensten durchzuf\u00fchren. <\/p>\n
Im Januar 2027 wird die direkte Ver\u00f6ffentlichung von Paketen, die Tokens zur Umgehung der 2FA verwenden, verboten. Diese Pakete k\u00f6nnen jedoch im Staging-Bereich ver\u00f6ffentlicht werden, wo sie bis zur manuellen Freigabe durch den Begleitenden verbleiben. Nach der manuellen Best\u00e4tigung werden die ver\u00f6ffentlichten Pakete f\u00fcr die Benutzer zur Installation verf\u00fcgbar sein. <\/p>\n
F\u00fcr die automatische Ver\u00f6ffentlichung wird der Mechanismus \u201eTrusted Publishers\u201c vorgeschlagen, der auf dem Standard OpenID Connect (OIDC) und zeitlich begrenzten Authentifizierungstoken basiert, die zwischen externen Diensten und dem Paketkatalog ausgetauscht werden, um die Ver\u00f6ffentlichung von Paketen zu best\u00e4tigen, anstelle traditioneller Passw\u00f6rter oder permanenter API-Zugriffstokens. \n Quelle: opennet.ru<\/a> <\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"