В npm 12 по умолчанию отключили выполнение установочных скриптов — ключевое изменение коснулось lifecycle-скриптов, зависимостей из Git-репозиториев и пакетов по удаленным URL.

Теперь для запуска этих механизмов требуется явное разрешение разработчика. GitHub объясняет это необходимостью защитить цепочку поставок от атак, которые годами эксплуатировали автоматическое выполнение кода при установке пакетов.

Ранее злоумышленники могли внедрить вредоносный код в postinstall или аналогичные скрипты, которые запускались без ведома пользователя. Новая политика безопасности заставит разработчиков осознанно подтверждать каждый такой случай.

Хотя для проектов, где скрипты действительно нужны, это добавит ручных действий, в долгосрочной перспективе мера должна снизить количество инцидентов с компрометацией через npm.