npm publish-time malware scanning and dual-use metadata - GitHub Changelog

Menu. Currently selected: Packages are scanned before they become available As part of our ongoing supply-chain security work, npm is introducing automatic scanning of packages at publish time. This changelog covers what publishers can expect and a new metadata requirement for dual-use content. Packages are scanned before they become available Newly published packages will be automatically scanned

[shingo-sasaki-0529]

npm レジストリが、パッケージ公開時にマルウェアスキャンが自動で走るようになる。公開即利用可能じゃなく5分から15分の遅延が入るようになるので、即時性を期待して自動化したワークフローとかある場合は注意が必要

[efcl]

npmのpublish時のマルウェアスキャンとdual-use content向けメタデータについて。 publishされたパッケージはスキャン後にインストール可能となり、結果に応じて公開、手動レビュー、ブロックされる。 マルウェアと誤認される可

[mizdra]

自動でマルウェアスキャンしてから npm パッケージが公開されるように。また、マルウェアと誤認されるようなパッケージ(dual-use パッケージ)を宣言するためのフィールドが package.json に導入される。