{"id":182580,"date":"2026-07-09T22:53:44","date_gmt":"2026-07-09T20:53:44","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/v-npm-12-0-po-umolchaniyu-otklyuchyon-zapusk-skriptov-pri-ustanovke-paketov"},"modified":"2026-07-09T22:53:44","modified_gmt":"2026-07-09T20:53:44","slug":"v-npm-12-0-po-umolchaniyu-otklyuchyon-zapusk-skriptov-pri-ustanovke-paketov","status":"publish","type":"post","link":"https:\/\/prohoster.info\/it\/blog\/news\/v-npm-12-0-po-umolchaniyu-otklyuchyon-zapusk-skriptov-pri-ustanovke-paketov","title":{"rendered":"In NPM 12.0 l'esecuzione di script all'installazione dei pacchetti \u00e8 disattivata per impostazione predefinita","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
\u00c8 stato pubblicato il rilascio del gestore di pacchetti NPM 12.0, incluso nella fornitura di Node.js e utilizzato per la distribuzione di moduli in JavaScript. La nuova versione \u00e8 notevole per l'interruzione predefinita dell'esecuzione di script durante l'installazione dei pacchetti. Si prevede che questa modifica renda pi\u00f9 difficile la realizzazione di attacchi mediante compromissione delle dipendenze e rallenti la diffusione di worm attivati da script di installazione. <\/p>\n
Per disabilitare l'avvio automatico degli script specificati in package.json tramite i parametri preinstall, install o postinstall, l'impostazione allowScripts \u00e8 impostata su \"off\" per impostazione predefinita. L'esecuzione di tali script, cos\u00ec come la compilazione del codice C\/C++ tramite lo strumento node-gyp, nel caso in cui sia presente un file binding.gyp nel pacchetto, avviene ora solo su esplicita richiesta dell'utente. Inoltre, le opzioni \"--allow-git\" e \"--allow-remote\" sono ora impostate su \"none\" per impostazione predefinita, disabilitando il download automatico delle dipendenze da repository Git e da collegamenti diretti a siti con archivi tar. <\/p>\n
Per organizzare l'esecuzione degli script di installazione, \u00e8 necessario utilizzare il comando \"npm approve-scripts\", al quale si possono passare i nomi dei pacchetti fidati o l'opzione \"--all\" per concedere il permesso a tutti i pacchetti. Per i pacchetti sospetti, si consiglia di eseguire il comando \"npm approve-scripts --allow-scripts-pending\", che mostrer\u00e0 un elenco degli script in attesa di esecuzione. Dopo aver verificato questi script, possono essere autorizzati con il comando \"npm approve-scripts\" e aggiunti alla lista bianca in package.json. <\/p>\n
Inoltre, \u00e8 stato annunciato il divieto di utilizzo di token di accesso GAT nel repository NPM (Granular Access Tokens) configurati per eseguire operazioni senza autenticazione a due fattori (2FA). A partire da agosto, tali token non permetteranno di eseguire operazioni come la creazione o la cancellazione di token, la modifica del profilo, della password o dell'email, la configurazione dell'autenticazione a due fattori, la generazione di codici di ripristino, la modifica dei permessi e la gestione degli accompagnatori senza una conferma manuale aggiuntiva. <\/p>\n
A gennaio 2027, si intende vietare la pubblicazione diretta di pacchetti utilizzando token che aggirano il 2FA. I pacchetti potranno essere pubblicati nella sezione di staging, dove rimarranno fino alla conferma manuale del rilascio da parte del responsabile. Dopo la conferma manuale, i pacchetti pubblicati diventeranno disponibili per l'installazione da parte degli utenti. <\/p>\n
Per la pubblicazione automatica, si consiglia di utilizzare meccanismi come \"Trusted Publishers\", basati sull'utilizzo dello standard OpenID Connect (OIDC) e di token di autenticazione a scadenza, scambiati tra servizi esterni e cataloghi di pacchetti per convalidare l'operazione di pubblicazione del pacchetto anzich\u00e9 utilizzare password tradizionali o token di accesso API permanenti. \n Fonte: opennet.ru<\/a> <\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"