{"id":182580,"date":"2026-07-09T22:53:44","date_gmt":"2026-07-09T20:53:44","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/v-npm-12-0-po-umolchaniyu-otklyuchyon-zapusk-skriptov-pri-ustanovke-paketov"},"modified":"2026-07-09T22:53:44","modified_gmt":"2026-07-09T20:53:44","slug":"v-npm-12-0-po-umolchaniyu-otklyuchyon-zapusk-skriptov-pri-ustanovke-paketov","status":"publish","type":"post","link":"https:\/\/prohoster.info\/fr\/blog\/news\/v-npm-12-0-po-umolchaniyu-otklyuchyon-zapusk-skriptov-pri-ustanovke-paketov","title":{"rendered":"Dans NPM 12.0, l'ex\u00e9cution des scripts lors de l'installation des packages est d\u00e9sactiv\u00e9e par d\u00e9faut","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
La version 12.0 du gestionnaire de paquets NPM, inclus dans Node.js et utilis\u00e9e pour la distribution de modules en JavaScript, a \u00e9t\u00e9 publi\u00e9e. Cette nouvelle version se distingue par l'arr\u00eat par d\u00e9faut de l'ex\u00e9cution de scripts lors de l'installation de paquets. Ce changement vise \u00e0 compliquer la r\u00e9alisation d'attaques par compromission de d\u00e9pendances et \u00e0 ralentir la propagation des vers activ\u00e9s par des scripts d'installation. <\/p>\n
Pour emp\u00eacher l'ex\u00e9cution automatique des scripts sp\u00e9cifi\u00e9s dans package.json via les param\u00e8tres preinstall, install ou postinstall, la configuration allowScripts est par d\u00e9faut d\u00e9finie sur \u00ab off \u00bb. L'ex\u00e9cution de tels scripts, ainsi que le lancement de la compilation du code C\/C++ avec l'outil node-gyp en cas de pr\u00e9sence d'un fichier binding.gyp dans le package, se fera d\u00e9sormais uniquement sur instruction explicite de l'utilisateur. De plus, les param\u00e8tres \u00ab --allow-git \u00bb et \u00ab --allow-remote \u00bb sont par d\u00e9faut r\u00e9gl\u00e9s sur \u00ab none \u00bb, ce qui d\u00e9sactive le t\u00e9l\u00e9chargement automatique des d\u00e9pendances depuis des d\u00e9p\u00f4ts Git et via des liens directs vers des sites contenant des archives tar. <\/p>\n
Pour organiser l'ex\u00e9cution des scripts d'installation, il convient d'utiliser la commande \u00ab npm approve-scripts \u00bb, \u00e0 laquelle on passe les noms des packages de confiance ou l'option \u00ab --all \u00bb pour accorder l'autorisation \u00e0 tous les packages. Pour les packages douteux, il est recommand\u00e9 d'utiliser la commande \u00ab npm approve-scripts --allow-scripts-pending \u00bb, qui affichera la liste des scripts en attente d'ex\u00e9cution. Apr\u00e8s v\u00e9rification de ces scripts, ils peuvent \u00eatre autoris\u00e9s avec la commande \u00ab npm approve-scripts \u00bb et ajout\u00e9s \u00e0 la liste blanche dans package.json. <\/p>\n
De plus, il a \u00e9t\u00e9 annonc\u00e9 l'interdiction d'utilisation dans le d\u00e9p\u00f4t NPM des jetons d'acc\u00e8s GAT (Granular Access Tokens), configur\u00e9s pour effectuer des actions sans authentification \u00e0 deux facteurs (2FA). \u00c0 partir d'ao\u00fbt, ces jetons ne permettront plus d'effectuer des op\u00e9rations telles que la cr\u00e9ation ou la suppression de jetons, la modification de profil, de mot de passe ou d'e-mail, la configuration de l'authentification \u00e0 deux facteurs, la g\u00e9n\u00e9ration de codes de r\u00e9cup\u00e9ration, la modification des droits d'acc\u00e8s et la gestion des accompagnants sans une confirmation manuelle suppl\u00e9mentaire des actions. <\/p>\n
En janvier 2027, il est pr\u00e9vu d'interdire la publication directe de paquets utilisant des jetons contournant le 2FA. Les paquets pourront cependant \u00eatre publi\u00e9s dans la section staging, o\u00f9 ils resteront jusqu'\u00e0 la confirmation manuelle de la version par un accompagnateur. Apr\u00e8s confirmation manuelle, les paquets publi\u00e9s seront disponibles pour installation par les utilisateurs. <\/p>\n
Pour la publication automatique, il est propos\u00e9 d'utiliser le m\u00e9canisme \u00ab Trusted Publishers \u00bb, bas\u00e9 sur la norme OpenID Connect (OIDC) et sur des tokens d'authentification temporaires, \u00e9chang\u00e9s entre des services externes et le r\u00e9pertoire de paquets pour confirmer l'op\u00e9ration de publication d'un package, au lieu d'utiliser des mots de passe traditionnels ou des tokens d'acc\u00e8s API permanents. \n Source : opennet.ru<\/a> <\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"