و فاینالی npm به خودش اومده دوستان !

حالا npm بالاخره داره یکی از ترسناک‌ترین بخش‌های دنیای جاوااسکریپت رو جدی‌تر کنترل می‌کنه. توی npm v12 قرار نیست هر پکیجی که نصب می‌کنیم، همین‌طوری خودکار اسکریپت‌های preinstall، install و postinstall خودش رو اجرا کنه؛ یعنی اون لحظه معروفی که فقط می‌زنی npm install و یک عالمه کد ناشناس از dependencyها روی سیستم یا CI/CD اجرا می‌شه، دیگه قرار نیست پیش‌فرض و بی‌اجازه اتفاق بیفته. از این به بعد باید پکیج‌هایی که واقعاً بهشون اعتماد داری رو approve کنی و بقیه بلاک می‌شن. حتی Git dependencyها و dependencyهایی که از URL مستقیم می‌آیند هم بدون اجازه صریح resolve نمی‌شن. این تغییر شاید اولش برای بعضی پروژه‌ها دردسر migration داشته باشه، مخصوصاً پکیج‌های native که node-gyp دارند، ولی از نظر امنیت supply chain اتفاق مهمیه؛ چون حمله به npm همیشه لازم نیست از خود کد اصلی پروژه بیاد، گاهی همین اسکریپت‌های نصب می‌تونن در لحظه install تبدیل به در ورودی حمله بشن. خلاصه npm v12 داره می‌گه: نصب پکیج نباید مساوی اجرای بی‌چون‌وچرای کد غریبه باشه !

https://github.blog/changelog/2026-06-09-upcoming-breaking-changes-for-npm-v12/

@codehalics | کدهالیک