InfoQ ホームページ NPM に関するすべてのコンテンツ
-
オープンソースソフトウェアのサプライチェーンの安全性確保
SonarSourceのセキュリティ研究者による最近の調査結果では、Pip、Yarn、Composerなどの一般的なパッケージマネージャに複数のセキュリティ脆弱性があることが判明している。しかし、パッケージマネージャは、オープンソースのセキュリティチェーンにおける唯一の弱点ではない。InfoQは、SonatypeのCTOであるBrian Foxに話を聞いた。
-
Npm 7がワークスペースと決定論的ビルドをサポートで一般提供
先頃リリースされたnpm 7には、開発者から要求されたいくつかの機能が追加されている。たとえば、ワークスペースのサポート、ピア依存関係管理のより良いサポート、決定論的に再現可能なビルドだ。npm 7は、開発者エクスペリエンス全体の改善を目的としたいくつかの重大な変更を含む大きなリリースだ。
-
GitHubとnpmをより活用するためのJavaScriptコーダ向けガイド - GitHub Satellite 2020より
GitHubでnpmのプロダクトマネージャを務めるEdward Thomson氏は、先日のGitHub Satellite 2020で、npmがGitHubに加わったことによるJavaScript開発者への影響と、オープンソース開発とプロフェッショナル開発がともにGitHubを最大限に活用する方法について説明した。
-
「npm install」を安全にする
QCon New York 2019で、Agoricのソフトウェアエンジニア、Kate Sillsが、JavaScriptを使って構成可能なスマートコントラクトコンポーネントを構築する際のセキュリティ上の課題について説明した。npmインストールプロセスにおけるセキュリティ上のリスクに対する解決策として、TC39 JavaScriptの2つの新しい提案、レルムとSecure ECMAScript（SES）が示された。
-
JSUI、JavaScriptアプリ管理のためのUIツールキット
JSUIは、JavaScriptアプリケーションを作成・管理するためのビジュアルツールだ。このプロジェクトでは、フロントエンドとバックエンドのアプリケーションのためのユーティリティおよび機能を提供する。機能の多くは、土台となるJavaScriptフレームワークに非依存だ。
-
悪質なバックドアを含むパッケージがNPMに
NPMのセキュリティチームは、実際に悪意のあるバックドアを含んでいた、Cookieパーサになりすましているパッケージを、それに依存する他の3つのパッケージとともに削除した。バックドアによりアタッカーは実行中のサーバに任意のコードをインジェクトして実行することができた。
-
Node.js 10.0とNPM 6はセキュリティを強調してリリースされた
4月24日、Node.jsプロジェクトはNode.jsのバージョン10.0.0をリリースして、npm, Incは、node package managerであるnpmのバージョン6.0をリリースした。 どちらのリリー��もセキュリティの向上が協調されており、Node.js 10.0.0がOpenSSLバージョン1.1.0にアップデートされ、NPMには新しいネイティブプログラミングAPIと安定したHTTPのサポートを含む新しいセキュリティにフォーカスした機能が含まれている。Node.jsのリリースにも新しいネイティブプログラミングAPIとHTTP2サポオートが含まれている。
-
直近のNpmインシデントによりセキュリティ上の脆弱性が発覚
先週、npmレジストリで操作インシデントが発生した。これによって、require-from-stringなどに依存する多くのパッケージが利用できなくなった。このインシデントは解決するのは比較的単純であったが、npmを使用してプロジェクトに悪質なコードを挿入するために悪用された可能性のある主要なセキュリティの脆弱性が明らかになった。
-
Webpack Dashboardがコンソール出力のUXを改善する
新しいツールとして登場したWebpack Dashboardは、人気のあるWebpackモジュールビルダーのUX改善を提供している。
-
-
Node.js 6.0、ES2015の93%をサポート
新しいCurrentバージョン、Node.js 6.0がリリースされた。パフォーマンスの改善、テストとドキュメントのカバレッジ向上、セキュリティ向上、ES2015のサポート拡大が含まれている。
-
NPMが2.5時間に渡って停止
npmの創設者であるIsaac Z. Schlueter氏によると，２日前，npmレジストリに毎分数百件というビルドエラーが出力されるようになり，世界中のユーザが，特定のNode.jsパッケージをインストールないしビルドすることができなくなった。これによってBabelやAtom, Ember, React Nativeなど，line-numbersに依存する数千件のパッケージが影響を受けた。一体何が起きたのだろうか？
-
-
Lodash 4.0リリース、小さなコアと多数の変更
Lodash 4.0.0がリリースされた。この新バージョンには新しい小さなコアライブラリが追加され、多数の新機能と破壊的変更が含まれている。またIE 6-8のサポートはドロップし、Bowerで使えなくなる。
-
Node.js 4.2 “Argon”が長期サポートプランの下でリリース
Node.js FoundationがリリースしたArgonは，ワーキンググループの長期サポート(Long Term Support)プランが初めて適用されたNode.jsリリースである。