npm v9.0.0 released
October 24, 2022 The npm CLI team has been working hard over the past few months and are happy to announce the release of the next major version – v9.0.0 Installation You can start using npm v9.0.0 today by running: $ npm i -g npm@9 About this release Our goal with this major release was to standardize appropriate defaults and clean up legacy configurations where possible. We believe the changes m
Best practices for creating a modern npm package with security in mind | Snyk
Technology is always changing and your processes and practices need to keep up with those changes. So while npm is 12 years old, your practices around npm package creation should hopefully be a lot more modern. If you have a feeling they may be a little out of date, though, keep reading. In this tutorial, we’re going to walk step by step through creating an npm package using modern best practices
雰囲気でパッケージマネージャーを作ろう
概要 本記事では、 npm や yarn などの、Node.js におけるパッケージマネージャーを自作することで、その仕組みや挙動の理解を深めようという取り組みを整理した記事になります。 想定読者は以下を満たす人です。 普段 npm や yarn などのパッケージマネージャを使用している package.json 内の dependencies devDependencies ぐらいはわかる npm リポジトリの構成や、パッケージインストールの仕組みとか全然わからんけど、興味がないこともない TypeScript のコードをまぁまぁ読み書きできる 筆者自身も上記のレベルのため、パッケージマネージャに詳しい方が見たら鼻で笑うレベルの内容でもあるので、どうぞお手柔らかにお願いします。 注意事項 本記事ではソースコードを断片的に記載していますが、ハンズオン形式にはなっていないため、コードの全容に
Blogged Answers: How I Estimate NPM Package Market Share (and how Redux usage compares to other libraries)
Home Techniques and sources I use to estimate relative market share of various NPM packages, with caveats and examples Introduction 🔗︎ For the last couple years, I've thrown around the statements that "Redux is used by 45-50% of React apps", and "Redux is by far the most widely used state management tool for React apps". I've had a couple people ask how I'm coming up with those numbers. I'd writt
4 reasons to avoid using `npm link`
Apr 2022 · 10min The dangers of `npm link` and why you should use `npx link` instead TL; DR # Instead of using npm link, use npm install or npx link to symlink a local package as a dependency: npx link is a tool I developed as a safer and more predictable alternative to npm link. Avoid using npm link because of the following footguns: Error-prone with multiple Node.js versions No fail-case and une
npm-scripts を書く時の手癖 - mizdra's blog
かれこれ 5 年くらい趣味開発で npm-scripts を書き続けている。長年書き続けているとノウハウが蓄積されてきて、「こう書くとスッキリする」「迷いがなくなる」「後から拡張したくなった時に、簡単に拡張できる」みたいな書き方が身についてきた。自分の型、あるいは手癖のようなものだと思う。 せっかくなので、id:mizdra の今の npm-scripts を書く時の手癖を書き連ねてみる。 基本形 { "scripts": { "build": "webpack --mode production", "dev": "webpack-dev-server --mode development", "lint": "eslint .", "test": "jest" } } 一番シンプルな npm-scripts を書く時のパターン。以下の 4 つの script を登録している。 buil
How to publish Deno modules to NPM
I wrote oak, a full featured HTTP middleware/router framework. It is the most used HTTP framework for Deno and powers many sites; for example doc.deno.land. A lot of people want to use Deno as their primary development platform but also want to be able to share code with-in the Node ecosystem. This is easily possible using dnt. In this article, I will show you how I published Oak to NPM module in
In-depth of tnpm rapid mode - how we managed to be 10 second faster than pnpm
In-depth of tnpm rapid mode - how we managed to be 10 second faster than pnpm Background As a front-end veteran, I have to point out that the increasing complexity of front-end projects nowadays makes the dependency installation slower and slower. At Alibaba and Ant Group, Engineering Productivity is an important metric for engineers, and the speed of installation of front-end dependencies is a bi
colorsなどのnpmパッケージに悪意あるコードが含まれている問題について
追記: 2022年1月11日 2:29 JSTにDoS脆弱性としてセキュリティアドバイザーが出されて、悪意あるバージョン(1.4.1や1.4.2)はnpmからunpublishされ、npmの最新は安全なバージョンである1.4.0へと変更されました。 Infinite loop causing Denial of Service in colors · GHSA-5rqg-jm4f-cqx7 · GitHub Advisory Database 2022-01-08 に colors というnpmパッケージにDoS攻撃のコードが含まれたバージョンが1.4.44-liberty-2として公開されました。 GitHub: https://github.com/Marak/colors.js npm: https://www.npmjs.com/package/colors 問題についてのIssu
Rust + wasmでJS向けの形態素解析ライブラリを作ってnpmで公開する
この記事はRust Advent Calendar 2021 （カレンダー１）の8日目の代打記事です。 この記事でわかること 💪wasm-pack最強💪 lindera-jsというライブラリを作った経験を通じて、既存のRust製ライブラリをnpmのパッケージにして公開するまでの手順がわかります lindera-jsはパッケージサイズの問題があるのでまだ、限られたケース(読み込みの時間が気にならないケース)でしか使えなさそう 出来上がったもの Rust製の形態素解析ライブラリであるLinderaをjavascript/typescriptから呼び出すことが出来るライブラリを作ってnpmで公開しました。 npmからインストールしたら、 import * as lindera from "lindera-js"; console.log(lindera.tokenize("関西国際空港限定ト
Malware found in coa and rc, two npm packages with 23M weekly downloads
Malware found in coa and rc, two npm packages with 23M weekly downloads The security team of the npm JavaScript package manager has warned users that two of its most popular packages had been hijacked by a threat actor who released new versions laced with what appeared to be password-stealing malware. Affected packages include coa and rc.Coa is a command-line argument parser with ~8.8 million week
npm audit: Broken by Design — overreacted
Security is important. Nobody wants to be the person advocating for less security. So nobody wants to say it. But somebody has to say it. So I guess I’ll say it. The way npm audit works is broken. Its rollout as a default after every npm install was rushed, inconsiderate, and inadequate for the front-end tooling. Have you heard the story about the boy who cried wolf? Spoiler alert: the wolf eats t
Denoからnpmパッケージを使用するノウハウ
このページの内容は古くなっています。 最新の情報については、以下のページを参照いただければと思います。 https://zenn.dev/uki00a/books/effective-deno/viewer/how-to-use-npm-packages DenoはJavaScript/TypeScriptランタイムであるため、既存のNode.jsやブラウザの資産をある程度活かすことができます。 この記事では、Denoからnpmパッケージを使用する際のノウハウについて、パッケージの種別ごとに解説します。 DenoとNode.jsの両方をサポートするパッケージ Node.jsとブラウザの両方で動作するパッケージ CommonJS形式で配布されているパッケージ Node.jsのAPIに依存するパッケージ DenoとNode.jsの両方をサポートするパッケージ npmパッケージの中にはDenoと
JSエコシステムぶらり探訪(4): npmとコマンドライン - Qiita
前回に続きnpmの機能について扱います。今回はnpmとコマンドラインツールとの関わりを中心に見ていきます。 ←前 目次 次→ 注意: Windowsとそれ以外では、npmのフォルダ配置は異なります。Windowsでの挙動についてはnpm-foldersを参照してください。 グローバルインストール npmは通常、Node.jsの配布物に同梱されていますが、yarnは同梱されていません。yarnを使う場合は次のようなコマンドを実行します。 これによって以下のような効果が発生します。 $PREFIX/lib/node_modules/yarn 以下にyarnの中身がインストールされる。 $PREFIX/lib/node_modules/yarn/node_modules 以下にyarnの依存関係がインストールされる。 $PREFIX/bin にシンボリックリンク yarn, yarnpkg が生
A web of trust for npm | Tao Bojlén
In 1984 the co-inventor of Unix, Ken Thompson, delivered a seminal speech in which he highlighted that you can’t trust code that you did not totally create yourself 1. For a while, this lesson was largely ignored as open-source package registries like RubyGems, PyPI and npm grew rapidly. However, as we’re seeing more and more supply-chain attacks through software dependencies, the risks of using u
npm Blog Archive: npm v7 Series - Why Keep `package-lock.json`?
The npm blog has been discontinued. Updates from the npm team are now published on the GitHub Blog and the GitHub Changelog. << Arborist Deep Dive >> Beta Release! One common question we’ve gotten a few times now, once we announce that npm v7 will include support for yarn.lock files, is “Why keep package-lock.json at all, then? Why not just use yarn.lock only?” The simple answer is: because yarn.l
package.json やロックファイルによるパッケージの依存関係の管理 - 30歳からのプログラミング
この記事では、npm installやnpm ciを実行したときにどのようにパッケージがインストールされるのか、依存パッケージにバージョンのコンフリクトが発生した際にどのように処理されるのか、などを見ていく。必要に応じて Yarn での挙動にも触れる。 動作確認に使った npm のバージョンは6.14.5。Yarn は1.22.4。 特に npm はバージョンによって動作が大きく異なるので、注意する。 package-lock.json によるバージョンの固定 package.jsonだけではインストールするパッケージのバージョンを固定できず、package-lock.json（Yarn の場合はyarn.lock）によってバージョンを固定する。 多くの人が知っている話ではあるが、重要な機能なので改めて触れておく。 package.jsonのdependenciesやdevDependen
npm Blog Archive: npm v7 Series - Arborist Deep Dive
The npm blog has been discontinued. Updates from the npm team are now published on the GitHub Blog and the GitHub Changelog. << Introduction >> Why Keep package-lock.json? @npmcli/arborist is the dependency tree manager for npm, new in npm v7. It provides facilities for doing nearly everything that npm does with package trees, and fully replaces large parts of the npm CLI codebase. Way back in the
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
What's Really Going On Inside Your node_modules Folder? - Socket
Npm Security Best Practices