npm v12 quraşdırma skriptlərini və Git asılılıqlarını standart olaraq bloklayacaq

npm v12-də nə dəyişir

GitHub JavaScript paket meneceri npm-in növbəti əsas versiyası olan v12 ilə gələcək əsaslı dəyişikliklərin siyahısını dərc edib. Buraxılış 2026-cı ilin iyulunda gözlənilir. Versiya npm install-ın hazırda avtomatik baş verən bir neçə davranışını tərtibatçıların açıq şəkildə icazə verməli olduğu addımlara çevirir. Bütün dəyişikliklər artıq npm 11.16.0 və daha yeni versiyalarda xəbərdarlıq kimi görünür, beləliklə layihələr yeniləmədən əvvəl hazırlaşa bilər.

Quraşdırma skriptləri artıq icazə tələb edir

Ən böyük dəyişiklik allowScripts parametrinin standart olaraq söndürülməsidir. Yeniləmədən sonra npm install layihədə açıq icazə verilmədiyi halda asılılıqların preinstall, install və postinstall skriptlərini icra etməyəcək. Bu yerli node-gyp yığımlarına da aiddir: binding.gyp faylı olan, lakin ayrıca install skripti olmayan paket də bloklanır, çünki npm onun üçün gizli şəkildə node-gyp rebuild işə salır. Git, fayl və link asılılıqlarındakı prepare skriptləri də eyni qaydada bloklanır.

Nəyin bloklanacağını görmək üçün npm approve-scripts --allow-scripts-pending işlədin, sonra etibar etdiyiniz paketləri npm approve-scripts ilə icazə verin, qalanlarını isə npm deny-scripts ilə bloklayın. Yaranan icazə siyahısı package.json faylına yazılır və repozitoriyaya commit edilməlidir.

Git və uzaq asılılıqlar standart olaraq söndürülüb

Daha iki bayrağın standart dəyəri dəyişir. --allow-git none olur, beləliklə npm install açıq icazə verilmədiyi halda nə birbaşa, nə də keçidli Git asılılıqlarını həll etməyəcək. GitHub-ın sözlərinə görə, bu, --ignore-scripts istifadə edildikdə belə Git asılılığının .npmrc faylının Git icra faylını dəyişdirə bildiyi kod icra yolunu bağlayır. Dəyişiklik ilk dəfə 18 fevral 2026-da elan olunub və npm 11.10.0-dan başlayaraq mövcuddur.

--allow-remote da standart olaraq none olur: HTTPS tar arxivləri kimi uzaq URL-lərdən gələn asılılıqlar açıq icazə olmadan həll edilməyəcək. Bayraq npm 11.15.0-dan başlayaraq mövcuddur. Əlaqəli --allow-file və --allow-directory bayraqları v12-də standart dəyərlərini dəyişmir.

Necə hazırlaşmalı

GitHub tövsiyə edir ki, npm-i 11.16.0 və ya daha yeni versiyaya yeniləyin, adi quraşdırmanı işlədin və xəbərdarlıqlara baxın. Sonra npm approve-scripts --allow-scripts-pending ilə hansı paketlərdə skript olduğunu görün, etibar etdiklərinizi təsdiqləyin və yenilənmiş package.json faylını commit edin. Yeniləmədən sonra yalnız təsdiqlənmiş skriptlər işləməyə davam edəcək — təsdiqlənməyənlər sadəcə dayanacaq. npm approve-scripts, npm deny-scripts və npx ilə qlobal quraşdırmaların istifadə etdiyi allow-scripts konfiqurasiyası ilə bağlı sənədlər npm-in sənəd saytında, müzakirə isə GitHub Community-də aparılır.