monorepo でも pnpm の利用を強制させる

パッケージマネジャーとして pnpm の利用を強制させる（i.e. npm や yarn を叩けないようにする）方法はいくつか知られていますが、既存の方法では monorepo（pnpm workspace）で管理するパッケージ内での強制は簡単ではありませんでした。本稿では、解決策として、Mise を用いてディレクトリ単位でエイリアスを張り、npm や yarn を叩くと「pnpm を利用してね」とだけ表示させる仕組みを紹介します。 背景 近頃 npm パッケージのサプライチェーン攻撃が猛威を振るっており、対策の一つとして pnpm が注目されつつあります。pnpm が注目されている理由としては、公開から時間が経ったパッケージのみのインストールを強制できたり、依存パッケージの lifecycle scripts をデフォルトでは実行しないところにあるようです。 さて、npm パッケージのパ

[Kesin]

miseやdirenvで管理されているディレクトリ以下だけコマンドのエイリアスを定義できるハックを使ってnpmやyarnを動かなくさせる仕組み。これ応用すれば逆にリポジトリ固有のコマンドエイリアスを作ったりもできそう