Ключевое изменение: настройка
allowScripts по умолчанию выставлена в "off", поэтому скрипты (preinstall, install, postinstall) и компиляция C/C++ через node-gyp (binding.gyp) больше не запускаются автоматически при установке. Для их запуска требуется явное разрешение через npm approve-scripts (с указанием пакетов или --all). Также по умолчанию отключена автоматическая загрузка зависимостей из Git-репозиториев и прямых ссылок на tar-архивы (--allow-git и --allow-remote установлены в "none").Анонсирован запрет GAT-токенов без 2FA для критических операций (с августа). С января 2027 года прямая публикация пакетов с использованием токенов, обходящих 2FA, будет запрещена — пакеты будут попадать в staging-раздел до ручного подтверждения сопровождающим. Для автоматической публикации предлагается механизм "Trusted Publishers" на основе OpenID Connect (OIDC) с ограниченными по времени токенами.
Linux / Линукс 🥸
