{"id":182580,"date":"2026-07-09T22:53:44","date_gmt":"2026-07-09T20:53:44","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/v-npm-12-0-po-umolchaniyu-otklyuchyon-zapusk-skriptov-pri-ustanovke-paketov"},"modified":"2026-07-09T22:53:44","modified_gmt":"2026-07-09T20:53:44","slug":"v-npm-12-0-po-umolchaniyu-otklyuchyon-zapusk-skriptov-pri-ustanovke-paketov","status":"publish","type":"post","link":"https:\/\/prohoster.info\/pt\/blog\/news\/v-npm-12-0-po-umolchaniyu-otklyuchyon-zapusk-skriptov-pri-ustanovke-paketov","title":{"rendered":"No NPM 12.0, a execu\u00e7\u00e3o de scripts durante a instala\u00e7\u00e3o de pacotes est\u00e1 desativada por padr\u00e3o","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
Foi lan\u00e7ada a vers\u00e3o 12.0 do gerenciador de pacotes NPM, que faz parte da entrega do Node.js e \u00e9 utilizado para distribuir m\u00f3dulos em JavaScript. A nova vers\u00e3o \u00e9 not\u00e1vel por desativar, por padr\u00e3o, a execu\u00e7\u00e3o de scripts durante a instala\u00e7\u00e3o de pacotes. Espera-se que essa mudan\u00e7a dificulte a realiza\u00e7\u00e3o de ataques por meio da comprometimento de depend\u00eancias e desacelere a propaga\u00e7\u00e3o de worms ativados por scripts de instala\u00e7\u00e3o. <\/p>\n
Para proibir a execu\u00e7\u00e3o autom\u00e1tica de scripts especificados no package.json atrav\u00e9s dos par\u00e2metros preinstall, install ou postinstall, a configura\u00e7\u00e3o allowScripts foi definida como «off» por padr\u00e3o. A execu\u00e7\u00e3o de tais scripts, bem como a compila\u00e7\u00e3o de c\u00f3digo C\/C++ pela ferramenta node-gyp na presen\u00e7a de um arquivo binding.gyp no pacote, agora ocorre apenas mediante uma instru\u00e7\u00e3o expl\u00edcita do usu\u00e1rio. Al\u00e9m disso, os par\u00e2metros «—allow-git» e «—allow-remote» agora s\u00e3o definidos como «none» por padr\u00e3o, desativando o download autom\u00e1tico de depend\u00eancias de reposit\u00f3rios Git e links diretos para sites com arquivos tar. <\/p>\n
Para organizar a execu\u00e7\u00e3o de scripts de instala\u00e7\u00e3o, deve-se usar o comando «npm approve-scripts», ao qual se passam os nomes dos pacotes de confian\u00e7a ou a op\u00e7\u00e3o «—all» para conceder permiss\u00e3o a todos os pacotes. Para pacotes duvidosos, \u00e9 recomend\u00e1vel executar o comando «npm approve-scripts —allow-scripts-pending», que ir\u00e1 exibir uma lista de scripts que est\u00e3o aguardando execu\u00e7\u00e3o. Ap\u00f3s a verifica\u00e7\u00e3o desses scripts, eles podem ser autorizados com o comando «npm approve-scripts» e adicionados \u00e0 lista branca no package.json. <\/p>\n
Al\u00e9m disso, foi anunciado a proibi\u00e7\u00e3o do uso de tokens de acesso GAT (Granular Access Tokens) no reposit\u00f3rio NPM, configurados para realizar a\u00e7\u00f5es sem autentica\u00e7\u00e3o de dois fatores (2FA). A partir de agosto, tais tokens, sem confirma\u00e7\u00e3o manual adicional, n\u00e3o permitir\u00e3o a realiza\u00e7\u00e3o de opera\u00e7\u00f5es como a cria\u00e7\u00e3o ou exclus\u00e3o de tokens, altera\u00e7\u00e3o de perfil, senha ou email, configura\u00e7\u00e3o de autentica\u00e7\u00e3o de dois fatores, gera\u00e7\u00e3o de c\u00f3digos de recupera\u00e7\u00e3o, altera\u00e7\u00e3o de permiss\u00f5es e gerenciamento de acompanhamentos. <\/p>\n
Em janeiro de 2027, pretende-se proibir a publica\u00e7\u00e3o direta de pacotes utilizando tokens que contornem o 2FA. No entanto, os pacotes poder\u00e3o ser publicados na se\u00e7\u00e3o de staging, onde permanecer\u00e3o at\u00e9 a confirma\u00e7\u00e3o manual do lan\u00e7amento pelo respons\u00e1vel. Ap\u00f3s a confirma\u00e7\u00e3o manual, os pacotes publicados se tornar\u00e3o dispon\u00edveis para instala\u00e7\u00e3o pelos usu\u00e1rios. <\/p>\n
Para publica\u00e7\u00e3o autom\u00e1tica, sugere-se utilizar o mecanismo «Trusted Publishers», baseado na utiliza\u00e7\u00e3o do padr\u00e3o OpenID Connect (OIDC) e tokens de autentica\u00e7\u00e3o com prazo limitado, que s\u00e3o trocados entre servi\u00e7os externos e o cat\u00e1logo de pacotes para confirmar a opera\u00e7\u00e3o de publica\u00e7\u00e3o do pacote em vez de usar senhas tradicionais ou tokens de acesso API permanentes. \n Fonte: opennet.ru<\/a> <\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"