NPM 5.7が重要なディレクトリの所有者を書き換える凄まじいバカをやらかす

https://github.com/npm/npm/issues/19883 Do not use NPM 5.7 | Hacker News NPM 5.7において、sudo npmを非rootユーザーから行うと、/etc/とか/usrとか/bootなどの極めて重要なディレクトリの所有者を、sudo npmを実行した非rootユーザーにchownして書き換えてしまうというとてつもないすさまじい不具合が報告されている。 一体どうすればそんな間違いをしでかすというのか。 https://github.com/npm/npm/commit/94227e15eeced836b3d7b3d2b5e5cc41d4959cff どうもディレクトリを作成するときにパーミッションと所有者を適切に設定するという名目でmkdirをラップして実行時のユーザーでchownするcorrectMKdirを作ってmk

[OkadaHiroshi]

そもそも npm を sudo で動かすのは間違いなので sudo で動かしたらディフォルトではエラーにすべきだった。

[el-condor]

NPM開発者がアレなのは確かなんだけど結語には不同意。どちらかというと各プラットフォームでの動作検証が不十分なことが真因でしょ。クロスプラットフォームを謳う言語で何故各PFの専門家おらへんのという話では。

[rgfx]

「これだから特定の言語専用のパッケージマネージャーというのは使うべきではないのだ。」

[kfujii]

“これだから特定の言語専用のパッケージマネージャーというのは使うべきではないのだ。”ではどうすれば？

[todesking]

npmかわいそう

[rti7743]

どんなプラットフォームで動作して、誰でも作れて、実装できて、簡単に採用できて、堅牢な、パッケージマネージャのデファクトスタンダードってないよね。だからみんな独自に作って混沌としている。

[tmatsuu]

hahaha。石川さんごめんなさいした報いだ