【npm】11月21日以降にnpm installした人へ - Shai-Hulud感染チェック & 多層防御ガイド
npm史上最悪のサプライチェーン攻撃「Shai-Hulud 2.0」。正規パッケージのメンテナー認証情報を盗み、悪意あるバージョンをnpmに公開するという手口で、11月21日から急速に拡散しました。 この記事では2つのことを解説します： 自分が被害にあっていないか確認する方法 今後の被害を防ぐ多層防御アプローチ *この記事と同じ内容を動画でも解説していますので、動画の方が好きな方は下記からどうぞ 被害確認 - あなたは大丈夫か？ Shai-Hulud 2.0は11月21日から急速に拡散しました。この日以降にnpm installを実行した人は、感染の可能性があります。 チェック1: GitHubアカウントの確認（ブラウザで完結） 確認ポイント1: 見覚えのないリポジトリ まずGitHubで自分のリポジトリ一覧を確認。 Shai-Huludは感染したアカウントにランダムな名前のパブリックリポ
npm trusted publishing with OIDC is generally available - GitHub Changelog
As of today, npm trusted publishing with OpenID Connect (OIDC) is now generally available. This feature enables you to securely publish npm packages directly from CI/CD workflows using OpenID Connect (OIDC) for authentication, reducing the need to manage long-lived tokens. What’s new With trusted publishing, you can now: Publish packages without npm tokens: Configure your packages to accept publis
GitHub Packagesを使用してprivateなnpmパッケージとして公開する
同じ内容の記事がいくつも公開されていますが、実際に試してみたら結構はまったので備忘録として残します。 やりたいこと GitHub Packagesにプライベートで公開したnpmパッケージを、複数のアプリケーションで使用する。 npmなどのレジストリから取得しているパブリックなパッケージと同じように、自作パッケージをGitHub Packagesからバージョン指定してインストールできるようにする。 GitHub Packagesとは GitHub PackagesはGitHubが提供しているレジストリ。 GitHubのユーザーまたはOrgに閉じたパッケージを公開できる。 パッケージをGitHub Packagesへパッケージ公開 package.json の設定 公開するパッケージの package.json に以下の情報を設定する。 name: パッケージ名 フォーマット: @<スコープ>
1
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
処理を実行中です
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
Clawpatch — Automated Code Review That Lands Fixes
How GitHub could secure npm - Human Who Codes
