{"id":182580,"date":"2026-07-09T22:53:44","date_gmt":"2026-07-09T20:53:44","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/v-npm-12-0-po-umolchaniyu-otklyuchyon-zapusk-skriptov-pri-ustanovke-paketov"},"modified":"2026-07-09T22:53:44","modified_gmt":"2026-07-09T20:53:44","slug":"v-npm-12-0-po-umolchaniyu-otklyuchyon-zapusk-skriptov-pri-ustanovke-paketov","status":"publish","type":"post","link":"https:\/\/prohoster.info\/de\/blog\/news\/v-npm-12-0-po-umolchaniyu-otklyuchyon-zapusk-skriptov-pri-ustanovke-paketov","title":{"rendered":"In NPM 12.0 ist die Ausf\u00fchrung von Skripten w\u00e4hrend der Installation von Paketen standardm\u00e4\u00dfig deaktiviert","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
Die Ausgabe des Paketmanagers NPM 12.0 wurde ver\u00f6ffentlicht, der in der Lieferung von Node.js enthalten ist und zur Verbreitung von Modulen in JavaScript verwendet wird. Die neue Version ist bemerkenswert, da standardm\u00e4\u00dfig die Ausf\u00fchrung von Skripten w\u00e4hrend der Installation von Paketen eingestellt wurde. Es wird angenommen, dass diese \u00c4nderung es schwieriger macht, Angriffe durch Kompromittierung von Abh\u00e4ngigkeiten durchzuf\u00fchren und die Verbreitung von W\u00fcrmern, die durch Installationsskripte aktiviert werden, verlangsamt. <\/p>\n
Um die automatische Ausf\u00fchrung von Skripten, die in package.json \u00fcber die Parameter preinstall, install oder postinstall angegeben sind, zu verhindern, ist die Einstellung allowScripts standardm\u00e4\u00dfig auf \"off\" gesetzt. Die Ausf\u00fchrung solcher Skripte sowie die Kompilierung von C\/C++-Code mit dem Tool node-gyp, sofern eine binding.gyp-Datei im Paket vorhanden ist, erfolgt jetzt nur auf ausdr\u00fcckliche Anweisung des Benutzers. Dar\u00fcber hinaus sind die Parameter \"--allow-git\" und \"--allow-remote\" standardm\u00e4\u00dfig auf \"none\" gesetzt, was das automatische Herunterladen von Abh\u00e4ngigkeiten aus Git-Repositories und von direkten Links zu Tar-Archiven deaktiviert. <\/p>\n
Um die Ausf\u00fchrung von Installationsskripten zu erm\u00f6glichen, sollte der Befehl \"npm approve-scripts\" verwendet werden, dem die Namen vertrauensw\u00fcrdiger Pakete oder die Option \"--all\" \u00fcbergeben werden, um allen Paketen die Erlaubnis zu erteilen. F\u00fcr zweifelhafte Pakete wird empfohlen, den Befehl \"npm approve-scripts --allow-scripts-pending\" auszuf\u00fchren, der eine Liste der f\u00fcr die Ausf\u00fchrung beantragten Skripte anzeigt. Nach der \u00dcberpr\u00fcfung dieser Skripte k\u00f6nnen sie mit dem Befehl \"npm approve-scripts\" genehmigt und in die Whitelist in package.json aufgenommen werden. <\/p>\n
Dar\u00fcber hinaus wurde das Verbot der Verwendung von GAT-Zugriffstoken (Granular Access Tokens), die f\u00fcr die Durchf\u00fchrung von Aktionen ohne Zwei-Faktor-Authentifizierung (2FA) konfiguriert sind, im NPM-Repository angek\u00fcndigt. Ab August werden solche Token, ohne zus\u00e4tzliche manuelle Best\u00e4tigung von Aktionen, keine Operationen wie das Erstellen oder L\u00f6schen von Tokens, das \u00c4ndern von Profilen, Passw\u00f6rtern oder E-Mails, das Einrichten der Zwei-Faktor-Authentifizierung, das Generieren von Wiederherstellungscodes, das \u00c4ndern von Zugriffsrechten und die Verwaltung von Begleitern erm\u00f6glichen. <\/p>\n
Im Januar 2027 wird beabsichtigt, die direkte Ver\u00f6ffentlichung von Paketen, die Token verwenden, die 2FA umgehen, zu verbieten. Die Pakete k\u00f6nnen jedoch im Staging-Bereich ver\u00f6ffentlicht werden, wo sie bis zur manuellen Freigabe durch den Begleiter verbleiben. Nach der manuellen Best\u00e4tigung werden die ver\u00f6ffentlichten Pakete f\u00fcr die Installation durch die Benutzer verf\u00fcgbar. <\/p>\n
F\u00fcr die automatische Ver\u00f6ffentlichung wird der Mechanismus \"Trusted Publishers\" vorgeschlagen, der auf dem Standard OpenID Connect (OIDC) und zeitlich begrenzten Authentifizierungstoken basiert, die zwischen externen Diensten und dem Paketkatalog ausgetauscht werden, um die Ver\u00f6ffentlichung von Paketen anstelle von traditionellen Passw\u00f6rtern oder dauerhaft g\u00fcltigen API-Zugriffs-Token zu best\u00e4tigen. \n Quelle: opennet.ru<\/a> <\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"