npm v12 ya es GA: npm install pide permiso antes de ejecutar dependencias

Dev

npm v12 ya está etiquetado como latest. allowScripts queda desactivado por defecto, mientras --allow-git y --allow-remote pasan a none. Los scripts de ciclo de vida y los builds implícitos de node-gyp requieren aprobación.

npm v12 ya es GA: npm install pide permiso antes de ejecutar dependencias
npm v12 bloquea por defecto scripts de instalación, dependencias Git y URLs remotas. Guía práctica para módulos nativos, CI y publicación segura.

Qué cambia

npm v12 ya está etiquetado como latest. allowScripts queda desactivado por defecto, mientras --allow-git y --allow-remote pasan a none. Los scripts de ciclo de vida y los builds implícitos de node-gyp requieren aprobación.

Política explícita

Use npm approve-scripts --allow-scripts-pending para inventariar paquetes, revise su código y procedencia, apruebe solo lo necesario y guarde la política allowScripts en package.json.

Impacto en CI

Pruebe primero addons nativos, dependencias Git, tarballs remotos, workspaces y builds sin caché. Un cache caliente puede ocultar una aprobación que falta.

Publicación segura

Para publicar, migre tokens de larga duración a trusted publishing con OIDC. En paquetes sensibles, npm stage publish añade revisión humana y 2FA antes de hacer pública la versión.

Checklist de npm v12

✓Revisar todos los scripts pendientes.

✓Fijar aprobaciones por versión.

✓Validar instalaciones limpias en CI.

✓Migrar publishing a OIDC o staging.

Fuentes

다른 글