minimumReleaseAge в pnpm и dependabot — циничная настройкаОна создает частный "карантин" для выпущенных версий публичных пакетов, в которых последнее время много вирусов, например, шайхулуд и его сиквел. Но в отличие от нормальных средств защиты, эта настройка полагается только и исключительно на то, что зараженный пакет удалят из публичного реестра до окончания карантина.
Существование этого "карантина" является прямым результатом мышления "пусть другие разбираются, а я подойду когда готово будет". Миллионеры по этой же причине кажется бункеры персональные себе строят.
Корпорации должны вкладывать больше ресурсов в поддержку реестров, публичный анализ пакетов на уязвимости и — не менее важное — закрытие этих уязвимостей. Сейчас же компании абьюзят публичную инфраструктуру для корпоративной выгоды и не заносят обратно ничего кроме репорта об ошибках и шантажа слить в паблик уязвимости.