‏npm می‌خواد اسکریپت‌های نصب رو پیش‌فرض مسدود کنه

npm تنها مدیر بسته‌ی بزرگی‌ه که هنوز اسکریپت‌های نصب وابستگی‌ها رو به‌صورت پیش‌فرض اجرا می‌کنه. pnpm نسخه ۱۰ به بعد، Yarn Berry، Bun، و Deno همه این رفتار رو مسدود کردن. حالا یک RFC (پیشنهاد رسمی تغییر) با شماره ۸۶۸ می‌خواد این خلأ امنیتی رو در npm هم برطرف کنه.

چرا الان؟ چند حمله‌ی جدی این موضوع رو فوری کرد. کِرم Shai-Hulud در سپتامبر ۲۰۲۵ از طریق یک postinstall مخرب، توکن‌های نگهداران بسته‌ها رو دزدید و بیش از ۵۰۰ بسته npm رو آلوده کرد. در همون ماه، بسته‌های معروفی مثل chalk و debug هم از طریق اکانت‌های هک‌شده‌ی نگهدارانشون، کدی برای خالی کردن کیف‌پول‌های Web3 تزریق کردن. در مارس ۲۰۲۶ هم بسته‌ی محبوب Axios از این طریق آلوده شد — جالب اینجاست که بسته‌ی مخرب حتی در کد Axios ایمپورت نشده بود و فقط از طریق postinstall اجرا می‌شد.