{"id":182580,"date":"2026-07-09T22:53:44","date_gmt":"2026-07-09T20:53:44","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/v-npm-12-0-po-umolchaniyu-otklyuchyon-zapusk-skriptov-pri-ustanovke-paketov"},"modified":"2026-07-09T22:53:44","modified_gmt":"2026-07-09T20:53:44","slug":"v-npm-12-0-po-umolchaniyu-otklyuchyon-zapusk-skriptov-pri-ustanovke-paketov","status":"publish","type":"post","link":"https:\/\/prohoster.info\/et\/blog\/novosti-interneta\/v-npm-12-0-po-umolchaniyu-otklyuchyon-zapusk-skriptov-pri-ustanovke-paketov","title":{"rendered":"NPM 12.0-s on skriptide k\u00e4ivitamine pakettide installimise ajal vaikevalikuna v\u00e4lja l\u00fclitatud.","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
Avalikustatud on NPM 12.0 paketihalduri versioon, mis kuulub Node.js'i komplekti ja mida kasutatakse JavaScripti moodulite jagamiseks. Uus versioon on m\u00e4rkimisv\u00e4\u00e4rne, kuna installimisel ei k\u00e4ivita skripte vaikimisi. Eeldatakse, et see muudatus keerukamaks muudab r\u00fcnnakute teostamise s\u00f5ltuvuste kompromiteerimise kaudu ja aeglustab installatsiooniskripti abil aktiveeritud usside levikut. <\/p>\n
Skriptide automaatse k\u00e4ivitamise keelamiseks, mis on m\u00e4\u00e4ratud package.json-is preinstall, install v\u00f5i postinstall parameetrites, on allowScripts vaikev\u00e4\u00e4rtuseks n\u00fc\u00fcd «off». Selliste skriptide t\u00e4itmine, samuti C\/C++ koodi kompileerimise k\u00e4ivitamine node-gyp utiliidiga, kui paketil on binding.gyp fail, toimub n\u00fc\u00fcd ainult siis, kui kasutaja annab selleks selge juhise. Lisaks sellele, parameterid «—allow-git» ja «—allow-remote» on vaikev\u00e4\u00e4rtuseks n\u00fc\u00fcd «none», mis keelab automaatse s\u00f5ltuvuste allalaadimise Git-repositooriumidest ja otse linkide kaudu tar-arhiivide veebisaitidelt. <\/p>\n
Installatsiooniskripti k\u00e4ivitamiseks tuleks kasutada k\u00e4sku «npm approve-scripts», millele edastatakse usaldusv\u00e4\u00e4rsete paketide nimed v\u00f5i valik «—all» k\u00f5igi pakettide lubamiseks. Kahtlaste paketide puhul on soovitatav k\u00e4ivitada k\u00e4sk «npm approve-scripts —allow-scripts-pending», mis toob v\u00e4lja skriptide loendi, mis soovivad k\u00e4ivituda. P\u00e4rast nende skriptide \u00fclevaatamist saab need lubada k\u00e4suga «npm approve-scripts» ja lisada valgesse nimekirja package.json-is. <\/p>\n
Lisaks on v\u00e4lja kuulutatud, et NPM-i hoidlas on keelatud GAT-juurdep\u00e4\u00e4su tokenite (Granular Access Tokens) kasutamine, mis on seadistatud tegevuste teostamiseks ilma kahefaktorilise autentimiseta (2FA). Alates augustist ei luba sellised tokenid ilma t\u00e4iendava k\u00e4sitsi kinnitamiseta teostada selliseid toiminguid nagu tokenite loomine v\u00f5i kustutamine, profiili, parooli v\u00f5i e-posti muutmine, kahefaktorilise autentimise seadistamine, taastamis\u00fclesannete genereerimine, juurdep\u00e4\u00e4su\u00f5iguste muutmine ja haldamine. <\/p>\n
Jaanuaris 2027 plaanitakse keelata otsene pakettide avaldamine, kasutades 2FA-d m\u00f6\u00f6da hiilivaid tokene. Samas saab pakette avaldada staging-osakonnas, kus need viibivad kuni k\u00e4sitsi kinnitamise protsessini. P\u00e4rast k\u00e4sitsi kinnitamist muutuvad avaldatud paketid kasutajatele installimiseks k\u00e4ttesaadavaks. <\/p>\n
Automaatseks publishimiseks soovitatakse kasutada «Trusted Publishers» mehhanismi, mis p\u00f5hineb OpenID Connect (OIDC) standardil ja ajakohaste autentimistokenite vahetusel, mida vahetavad v\u00e4lish\u00e4ired ja pakettide kataloog paketi publishimist jooksva operatsiooni kinnitamiseks traditsiooniliste paroolide v\u00f5i p\u00fcsivate API-juurdep\u00e4\u00e4su tokenite asemel. \n Allikas: opennet.ru<\/a> <\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"