npm ۱۲ رسید و پیشفرضهای امنیتی نصب رو روشن کرد
نود جیاسخلاصهٔ کاملتر
به گفتهی چنجلاگ گیتهاب، نسخهی ۱۲ ابزار npm حالا بهصورت عمومی منتشر شده و با تگ latest علامت خورده. این نسخهی major همون پیشفرضهای امنیتی زمان نصب رو که خرداد اعلام شده بود روشن میکنه و در کنارش منسوخکردن حساسترین کاربردهای توکنهای دسترسی granular که ۲FA رو دور میزنن هم شروع میشه.
مهمترین تغییر اینه که سه رفتار پرخطر که قبلاً خودکار اجرا میشدن حالا opt-in شدن. یک، allowScripts پیشفرض خاموشه؛ یعنی اسکریپتهای lifecycle وابستگیها مثل preinstall و postinstall و بیلدهای ضمنی node-gyp دیگه بدون اجازهی صریح اجرا نمیشن. دو، --allow-git پیشفرض روی noneه، پس وابستگیهای گیت (مستقیم یا غیرمستقیم) resolve نمیشن. سه، --allow-remote هم noneه و وابستگیهایی که از URL ریموت میان دیگه کشیده نمیشن.
نویسنده میگه همهی اینها از نسخهی ۱۱.۱۶ به بعد پشت هشدار در دسترس بودن، پس میتونی قبل از ارتقا آماده بشی. برای بازبینی و تأیید اسکریپتهایی که بهشون اعتماد داری میشه از npm approve-scripts --allow-scripts-pending استفاده کرد و بعد allowlist حاصل رو توی package.json کامیت کرد.
بخش دوم دربارهی توکنهای granularایه که برای دور زدن ۲FA تنظیم شدن. طبق اعلام، اوایل مرداد (early August 2026) این توکنها دیگه نمیتونن کارهای حساس حساب و پکیج و سازمان رو انجام بدن؛ کارهایی مثل ساخت یا حذف توکن، تغییر رمز و ایمیل و تنظیمات ۲FA، تغییر دسترسی و maintainerهای پکیج، و مدیریت عضویت تیم و سازمان. توصیه اینه که این کارها رو تعاملی و با ۲FA انجام بدی.
بعد از اون، حدود دیماه (around January 2027)، همین توکنها قابلیت انتشار مستقیم رو هم از دست میدن و فقط میتونن پکیج خصوصی بخونن و یه انتشار رو stage کنن که تازه بعد از تأیید انسانیِ ۲FA عمومی میشه. نویسنده پیشنهاد میکنه انتشار خودکار رو به سمت trusted publishing با OIDC یا staged publishing با یه مرحلهی تأیید انسانی ببری، بهجای یه توکن انتشارِ طولانیعمر.
نکات کلیدی:
- در npm ۱۲ اجرای اسکریپتهای نصب، وابستگیهای گیت و ریموت پیشفرض خاموشن و باید صریح روشن بشن.
- با npm approve-scripts --allow-scripts-pending میشه اسکریپتهای مورد اعتماد رو تأیید و توی package.json ثبت کرد.
- از اوایل مرداد، توکنهای دورزنندهی ۲FA دیگه کارهای حساس حساب و پکیج رو انجام نمیدن.
- حدود دیماه، این توکنها قابلیت انتشار مستقیم رو هم از دست میدن؛ مسیر پیشنهادی trusted publishing (OIDC) یا staged publishingه.
