{"id":182580,"date":"2026-07-09T22:53:44","date_gmt":"2026-07-09T20:53:44","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/v-npm-12-0-po-umolchaniyu-otklyuchyon-zapusk-skriptov-pri-ustanovke-paketov"},"modified":"2026-07-09T22:53:44","modified_gmt":"2026-07-09T20:53:44","slug":"v-npm-12-0-po-umolchaniyu-otklyuchyon-zapusk-skriptov-pri-ustanovke-paketov","status":"publish","type":"post","link":"https:\/\/prohoster.info\/pl\/blog\/news\/v-npm-12-0-po-umolchaniyu-otklyuchyon-zapusk-skriptov-pri-ustanovke-paketov","title":{"rendered":"W NPM 12.0 domy\u015blnie wy\u0142\u0105czono uruchamianie skrypt\u00f3w podczas instalacji pakiet\u00f3w","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
Wydano wydanie mened\u017cera pakiet\u00f3w NPM 12.0, kt\u00f3ry jest cz\u0119\u015bci\u0105 Node.js i s\u0142u\u017cy do dystrybucji modu\u0142\u00f3w w j\u0119zyku JavaScript. Nowa wersja wyr\u00f3\u017cnia si\u0119 domy\u015blnym wy\u0142\u0105czeniem uruchamiania skrypt\u00f3w podczas instalacji pakiet\u00f3w. Zmiana ta ma na celu utrudnienie przeprowadzania atak\u00f3w z wykorzystaniem kompromitacji zale\u017cno\u015bci oraz spowolnienie dystrybucji robak\u00f3w uruchamianych z instalacyjnych skrypt\u00f3w. <\/p>\n
Aby zablokowa\u0107 automatyczne uruchamianie skrypt\u00f3w wymienionych w package.json przez parametry preinstall, install lub postinstall, domy\u015blne ustawienie allowScripts zosta\u0142o ustawione na warto\u015b\u0107 \u201eoff\u201d. Wykonanie takich skrypt\u00f3w, jak r\u00f3wnie\u017c uruchomienie kompilacji kodu C\/C++ przy u\u017cyciu narz\u0119dzia node-gyp w przypadku obecno\u015bci pliku binding.gyp w pakiecie, odbywa si\u0119 teraz tylko po uzyskaniu wyra\u017anej instrukcji od u\u017cytkownika. Dodatkowo, parametry \u201e--allow-git\u201d i \u201e--allow-remote\u201d domy\u015blnie ustawione s\u0105 na warto\u015b\u0107 \u201enone\u201d, co wy\u0142\u0105cza automatyczne pobieranie zale\u017cno\u015bci z repozytori\u00f3w Git i bezpo\u015brednich link\u00f3w do stron z archiwami tar. <\/p>\n
Aby zorganizowa\u0107 uruchamianie skrypt\u00f3w instalacyjnych, nale\u017cy u\u017cy\u0107 polecenia \u201enpm approve-scripts\u201d, do kt\u00f3rego jako argumenty przekazywane s\u0105 nazwy pakiet\u00f3w, kt\u00f3rym mo\u017cna zaufa\u0107, lub opcja \u201e--all\u201d, aby przyzna\u0107 pozwolenie wszystkim pakietom. Dla w\u0105tpliwych pakiet\u00f3w zaleca si\u0119 uruchomienie polecenia \u201enpm approve-scripts --allow-scripts-pending\u201d, kt\u00f3re wy\u015bwietli list\u0119 skrypt\u00f3w oczekuj\u0105cych na wykonanie. Po weryfikacji tych skrypt\u00f3w mo\u017cna je zezwoli\u0107 za pomoc\u0105 polecenia \u201enpm approve-scripts\u201d i doda\u0107 do bia\u0142ej listy w package.json. <\/p>\n
Dodatkowo og\u0142oszono zakaz u\u017cywania w repozytorium NPM GAT-token\u00f3w dost\u0119pu (Granular Access Tokens), skonfigurowanych do wykonywania dzia\u0142a\u0144 bez dwuetapowej weryfikacji (2FA). Pocz\u0105wszy od sierpnia, takie tokeny nie pozwol\u0105 na wykonywanie operacji, takich jak tworzenie lub usuwanie token\u00f3w, zmiana profilu, has\u0142a lub adresu e-mail, konfiguracja dwuetapowej weryfikacji, generowanie kod\u00f3w odzyskiwania, zmiana uprawnie\u0144 i zarz\u0105dzanie towarzysz\u0105cymi bez dodatkowego r\u0119cznego potwierdzenia dzia\u0142a\u0144. <\/p>\n
W styczniu 2027 roku planowane jest zakazanie bezpo\u015bredniej publikacji pakiet\u00f3w z u\u017cyciem token\u00f3w omijaj\u0105cych 2FA. Pakiety b\u0119dzie mo\u017cna publikowa\u0107 w sekcji staging, gdzie b\u0119d\u0105 czeka\u0107 na r\u0119czne potwierdzenie wydania przez osob\u0119 odpowiedzialn\u0105. Po r\u0119cznym potwierdzeniu opublikowane pakiety stan\u0105 si\u0119 dost\u0119pne do instalacji przez u\u017cytkownik\u00f3w. <\/p>\n
Aby automatycznie publikowa\u0107, proponuje si\u0119 u\u017cycie mechanizmu \u201eTrusted Publishers\u201d, opartego na standardzie OpenID Connect (OIDC) oraz tokenach autoryzacji o ograniczonym czasie wa\u017cno\u015bci, kt\u00f3rymi wymieniaj\u0105 si\u0119 zewn\u0119trzne us\u0142ugi i katalog pakiet\u00f3w, aby potwierdzi\u0107 operacj\u0119 publikacji pakietu zamiast tradycyjnych hase\u0142 lub sta\u0142ych token\u00f3w dost\u0119pu do API. \n \u0179r\u00f3d\u0142o: opennet.ru<\/a> <\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"