#npm

GitHub Advisory Database 照合による opt-in の malware アラート。CVE 系とは別カテゴリ、ルールによる絞り込み、有効化時の既存分バックフィル。現状 npm のみ。

min-release-ageのサポート、Git経由でのコード実行防止策、OIDC設定の一括処理を追加。

npmのClassic Token（レガシーな認証トークン）が完全に廃止された。既存のClassic Tokenはすべて無効化され、使用・再作成・復元ができなくなった。 これに伴い、npm loginは2時間有効なセッションベースのトークンを発行するようになった（UIやCLIトークンリストには表示されない）。パブリッシュ操作時には2要素認証（2FA）が強制される。

GitHubがnpmのセキュリティ強化の一環として、npm token管理システムの変更を実施した。

npmでOpenID Connect（OIDC）を使用したtrusted publishing機能が一般提供開始。CI/CDワークフローからnpmトークンを使わずにパッケージを安全に公開可能になり、長期間のトークン管理とセキュリティリスクが排除される。GitHub ActionsとGitLab CI/CDワークフローからの短期間ワークフロー固有認証情報による暗号学的信頼を確立し、trusted publishing使用時は自動でプロヴェナンス証明が生成される（--provenanceフラグ不要）。npm CLI v11.5.1以降で利用可能で、パブリック・プライベート両方のパッケージでエンタープライズグレードのセキュリティを実現。 ### 参考文献

npmがStylusライブラリの全バージョンを削除し、世界中の開発者のビルドとパイプラインが停止。週300万ダウンロードを受ける人気のCSS生成ライブラリが「セキュリティホールディング」ページに置き換えられた。

Deno v2 がリリースされた。

npm v10.9.0 でdevEnginesフィールドが追加された。

npm に代わる新しい JavaScript のパッケージシステム「vlt」を開発している vlt technology に、npm の作者や今まで npm に関わったメンバーが参加したらしい。

Deno 1.34 がリリース。