{"id":182580,"date":"2026-07-09T22:53:44","date_gmt":"2026-07-09T20:53:44","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/v-npm-12-0-po-umolchaniyu-otklyuchyon-zapusk-skriptov-pri-ustanovke-paketov"},"modified":"2026-07-09T22:53:44","modified_gmt":"2026-07-09T20:53:44","slug":"v-npm-12-0-po-umolchaniyu-otklyuchyon-zapusk-skriptov-pri-ustanovke-paketov","status":"publish","type":"post","link":"https:\/\/prohoster.info\/sv\/blog\/news\/v-npm-12-0-po-umolchaniyu-otklyuchyon-zapusk-skriptov-pri-ustanovke-paketov","title":{"rendered":"I NPM 12.0 \u00e4r k\u00f6rning av skript under paketinstallation som standard inaktiverad","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
Version 12.0 of the package manager NPM has been released, included with Node.js and used for distributing modules in JavaScript. This new version is notable for disabling script execution by default during package installation. This change is expected to complicate attacks through dependency compromise and slow down the spread of worms activated from installation scripts. <\/p>\n
F\u00f6r att f\u00f6rhindra automatisk k\u00f6rning av skript som anges i package.json via parametrarna preinstall, install eller postinstall, \u00e4r inst\u00e4llningen allowScripts som standard satt till \"off\". Utf\u00f6rande av s\u00e5dana skript samt k\u00f6rning av kompilering av C\/C++-kod med verktyget node-gyp, om det finns en fil binding.gyp i paketet, sker nu endast n\u00e4r uttryckligt kommando ges av anv\u00e4ndaren. Dessutom \u00e4r parametrarna \"--allow-git\" och \"--allow-remote\" nu som standard inst\u00e4llda till \"none\", vilket inaktiverar automatisk nedladdning av beroenden fr\u00e5n Git-repositories och direktl\u00e4nkar till webbsidor med tar-arkiv. <\/p>\n
F\u00f6r att organisera k\u00f6rningen av installationsskript b\u00f6r kommandot \"npm approve-scripts\" anv\u00e4ndas, d\u00e4r paketnamn som \u00e4r betrodda eller alternativet \"--all\" anges f\u00f6r att ge till\u00e5telse till alla paket. F\u00f6r misst\u00e4nkta paket rekommenderas att k\u00f6ra kommandot \"npm approve-scripts --allow-scripts-pending\", vilket kommer att visa en lista \u00f6ver skript som s\u00f6ker tillst\u00e5nd f\u00f6r att k\u00f6ras. Efter att dessa skript har granskats kan de godk\u00e4nnas med kommandot \"npm approve-scripts\" och l\u00e4ggas till i vitlistan i package.json. <\/p>\n
Additionally, the use of GAT (Granular Access Tokens) in the NPM repository for actions without two-factor authentication (2FA) has been banned. Starting in August, such tokens will not allow operations like creating or deleting tokens, changing profiles, passwords or email, setting up two-factor authentication, generating recovery codes, changing access rights, and managing associates without additional manual confirmation. <\/p>\n
I januari 2027 avser man att f\u00f6rbjuda direktpublicering av paket med anv\u00e4ndning av token som omg\u00e5r 2FA. Paketen kommer dock att kunna publiceras i staging-avsnittet, d\u00e4r de kommer att ligga tills den ansvariga personen manuellt bekr\u00e4ftar releasen. Efter manuell bekr\u00e4ftelse kommer de publicerade paketen att bli tillg\u00e4ngliga f\u00f6r installation av anv\u00e4ndare. <\/p>\n
F\u00f6r automatisk publicering rekommenderas att anv\u00e4nda mekanismen \"Trusted Publishers\", som baseras p\u00e5 anv\u00e4ndning av standarden OpenID Connect (OIDC) och autentiseringstokens med begr\u00e4nsad giltighet, vilka utbyts mellan externa tj\u00e4nster och paketkatalogen f\u00f6r att bekr\u00e4fta publiceringsoperationen av ett paket i st\u00e4llet f\u00f6r att anv\u00e4nda traditionella l\u00f6senord eller permanenta \u00e5tkomsttoken f\u00f6r API. \n K\u00e4lla: opennet.ru<\/a> <\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"