Dlaczego npm v12 zmienia zasady bezpieczeństwa?
Dlaczego npm v12 zmienia zasady bezpieczeństwa?
Wprowadzenie npm v12 przynosi istotne zmiany w zakresie bezpieczeństwa, które mają na celu ochronę przed atakami na łańcuch dostaw. Nowa wersja, oznaczona jako latest, wprowadza domyślne ustawienia bezpieczeństwa dotyczące instalacji, ogłoszone przez GitHub w czerwcu.
Jedną z kluczowych zmian jest dezaktywacja skryptów instalacyjnych domyślnie. Oznacza to, że skrypty preinstall, install i postinstall z zależności nie będą uruchamiane, chyba że użytkownik wyrazi na to zgodę. To podejście ma na celu ochronę przed atakami, które wykorzystywały automatyczne uruchamianie skryptów w czasie instalacji.
Zmiany te są reakcją na serię ataków, które miały miejsce w ostatnich latach, w których złośliwe oprogramowanie instalowało się przed załadowaniem kodu aplikacji. Użytkownicy powinni być świadomi, że teraz muszą jawnie zatwierdzać te operacje.
- Skrypty instalacyjne domyślnie wyłączone.
- Użytkownicy muszą zezwolić na ich uruchomienie.
- Ochrona przed atakami na łańcuch dostaw.
Na podstawie: Źródła
