{"id":182580,"date":"2026-07-09T22:53:44","date_gmt":"2026-07-09T20:53:44","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/v-npm-12-0-po-umolchaniyu-otklyuchyon-zapusk-skriptov-pri-ustanovke-paketov"},"modified":"2026-07-09T22:53:44","modified_gmt":"2026-07-09T20:53:44","slug":"v-npm-12-0-po-umolchaniyu-otklyuchyon-zapusk-skriptov-pri-ustanovke-paketov","status":"publish","type":"post","link":"https:\/\/prohoster.info\/nl\/blog\/news\/v-npm-12-0-po-umolchaniyu-otklyuchyon-zapusk-skriptov-pri-ustanovke-paketov","title":{"rendered":"In NPM 12.0 is de uitvoering van scripts bij het installeren van pakketten standaard uitgeschakeld","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
De release van package manager NPM 12.0 is aangekondigd, dat onderdeel uitmaakt van de levering van Node.js en gebruikt wordt voor de distributie van modules in JavaScript. De nieuwe versie valt op door de standaard uitschakeling van het uitvoeren van scripts tijdens de installatie van pakketten. Deze wijziging is bedoeld om aanvallen via gecompromitteerde afhankelijkheden moeilijker te maken en de verspreiding van wormen die worden geactiveerd door installatiescripts te vertragen. <\/p>\n
Om het automatisch starten van scripts die in package.json zijn opgegeven via de parameters preinstall, install of postinstall te verbieden, is de instelling allowScripts standaard op \u2018off\u2019 gezet. Het uitvoeren van dergelijke scripts, evenals de compilatie van C\/C++ code met de tool node-gyp als er een binding.gyp bestand in het pakket aanwezig is, gebeurt nu alleen op expliciete instructie van de gebruiker. Bovendien zijn de parameters \u2018\u2014allow-git\u2019 en \u2018\u2014allow-remote\u2019 standaard op \u2018none\u2019 ingesteld, wat de automatische download van afhankelijkheden uit Git-repositories en via directe links naar websites met tar-archieven uitschakelt. <\/p>\n
Om de uitvoering van installatiescripts te organiseren, moet de command \u2018npm approve-scripts\u2019 worden gebruikt, waarvan de argumenten de namen van vertrouwde pakketten of de optie \u2018\u2014all\u2019 zijn om toestemming te geven aan alle pakketten. Voor twijfelachtige pakketten wordt aangeraden de command \u2018npm approve-scripts \u2014allow-scripts-pending\u2019 uit te voeren, die een lijst toont van scripts die klaar zijn om uitgevoerd te worden. Na controle van deze scripts kunnen ze worden goedgekeurd met de command \u2018npm approve-scripts\u2019 en aan de witte lijst in package.json worden toegevoegd. <\/p>\n
Daarnaast is de verboden toegang tot GAT-tokens (Granular Access Tokens) in de NPM-repository aangekondigd, deze zijn ingesteld om acties uit te voeren zonder twee-factor-authenticatie (2FA). Vanaf augustus zullen dergelijke tokens, zonder extra handmatige bevestiging van acties, het uitvoeren van operaties zoals het aanmaken of verwijderen van tokens, het wijzigen van profielen, wachtwoorden of e-mail, het instellen van twee-factor-authenticatie, het genereren van herstelcodes, het wijzigen van toegangsrechten en het beheer van bijbehorende acties niet toestaan. <\/p>\n
In januari 2027 willen ze de directe publicatie van pakketten verbieden waarbij tokens worden gebruikt die 2FA omzeilen. Pakketten kunnen echter worden gepubliceerd in de staging-sectie, waar ze zullen blijven totdat de release handmatig door de begeleider is bevestigd. Na handmatige bevestiging zullen de gepubliceerde pakketten beschikbaar zijn voor installatie door gebruikers. <\/p>\n
Voor automatische publicatie wordt het mechanisme \u2018Trusted Publishers\u2019 aanbevolen, dat gebaseerd is op de OpenID Connect (OIDC) standaard en authenticatietokens met een beperkte geldigheidsduur, die worden uitgewisseld tussen externe diensten en de pakket catalogus om de publicatieoperatie van een pakket te bevestigen in plaats van traditionele wachtwoorden of permanente toegangstokens voor API's te gebruiken. \n Bron: opennet.ru<\/a> <\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"