【npm audit】npm package の脆弱性対応してますか？
■ はじめに みなさんは自分の関わっているプロジェクトにおけるnpm packageの脆弱性対応をしたことがありますでしょうか？ 今回、npm auditを利用して脆弱性対応をした内容をもとにnpm packageの脆弱性対応方法と対応手順をまとめてみました。 npm packageの脆弱性ってなに？ npm auditってなに？ npm audit fix --forceをやっても脆弱性が消えなかった ライブラリとかpackageの依存関係てなに？ 上記に当てはまる人にとっては読む価値のある内容になっていると思います！ それではいってみましょう！ ■ そもそも脆弱性とは ソフトウェアにおける脆弱性（ぜいじゃくせい）とは、プログラムの不具合や設計上のミスが原因となって発生した情報セキュリティ上の欠陥のことを言います。 この情報セキュリティ上の欠陥が存在すると、悪意ある人に勝手にプログラムを
JavaScriptパッケージシステム「npm」は巨大なバグを抱えていると指摘し、新たなパッケージシステムを開発する「vlt」。npm作者らの参加を発表
JavaScriptパッケージシステム「npm」は巨大なバグを抱えていると指摘し、新たなパッケージシステムを開発する「vlt」。npm作者らの参加を発表 npmに代わる新しいJavaScriptのパッケージシステム「vlt」（vōlt：ボールト）を開発しているvlt technologyは、同社にnpmの作者であるIsaac Z. Schlueter氏、npmのスタッフエンジニアリングマネージャであったDarcy Clarke氏、npmのCLIチームであったRuy Adornoらが参加すると発表しました。 Node.jsとnpmが作ったJavaScriptのエコシステム サーバサイドでJavaScriptを実行可能にしたNode.jsの登場と、そのNode.jsを基盤にJavaScriptのアプリケーションやモジュールなどをパッケージングして登録し、自由にダウンロード可能にしたレジストリで
package.json に記述される チルダ ^ や キャレット ~ について
チルダ ^ と キャレット ~ package.json に記述されているバージョン情報の チルダ ^ や キャレット ~ は以下の意味になります。 バージョン固定 ex) 3.2.1 チルダ ~： マイナーバージョンまでの挙動を保証 ex) ~3.2.1 = 3.2.x キャレット ^： メジャーバージョンまでの挙動を保証 ex) ^3.2.1 = 3.x.x latest： 全てのバージョンでの挙動を保証 ex) * = x.x.x npm install 時の挙動 サンプルとして 3.2.1, 3.2.2, 3.3.0, 4.0.0 のバージョンがリリースされている npm パッケージ（a, b, c, d）があるとします。 そして、package.json を以下のように記述されているとします。
colorsなどのnpmパッケージに悪意あるコードが含まれている問題について
追記: 2022年1月11日 2:29 JSTにDoS脆弱性としてセキュリティアドバイザーが出されて、悪意あるバージョン(1.4.1や1.4.2)はnpmからunpublishされ、npmの最新は安全なバージョンである1.4.0へと変更されました。 Infinite loop causing Denial of Service in colors · GHSA-5rqg-jm4f-cqx7 · GitHub Advisory Database 2022-01-08 に colors というnpmパッケージにDoS攻撃のコードが含まれたバージョンが1.4.44-liberty-2として公開されました。 GitHub: https://github.com/Marak/colors.js npm: https://www.npmjs.com/package/colors 問題についてのIssu
npm-scriptsでSCSSをコンパイルする環境を構築する方法
今まではgulpを使ってきたのですが、最近はnpm-scriptsが流行りつつあります。 というのも、gulpだとどうしてもパッケージを大量に管理する必要があったり、gulpfile.jsがかなり複雑になりがちです。 package.jsonにある程度まとめて記述することで、管理するファイルも少なくなり、開発環境もシンプルになります。 今回はそんなnpm-scriptsで、SCSSのコンパイル方法についてまとめておきます。 npm scriptsを使う準備gulpを使ったことがある人であれば問題ありませんが、npmを使う必要があるのでNode.jsをインストールしている必要があります。 過去にいくつか記事にしているので、まだインストールしていない人はそちらを参考にインストールしてください。 現時点では、nodenvを使ってインストールするのをオススメしています。
npmとyarnのコマンド早見表
2019/12/24追記 npmとyarnの脆弱性が報告されています。 [npmとyarnの脆弱性とpostinstall - Cybozu Inside Out | サイボウズエンジニアのブログ] (https://blog.cybozu.io/entry/npm-vulnerabilities-and-postinstall) npmの利用者としてやるべきことは、 npmのバージョンを6.13.4以上にあげる yarnのバージョンを1.21.1以上にあげる 概要 npmとyarnの「よく使う」から「ときどき使う」くらいまでのコマンド早見表です。 環境 Windows 10 Professional Nodist 0.8.8 参考 [npm Documentation] (https://docs.npmjs.com/cli) [CLI の紹介 | Yarn] (https://yarn
npm の基本的な使い方
npm とは npm（Node Package Manager）は、Node.js のパッケージ（Package）を管理するツールです。 npm はパッケージをインストールする際に各種ライブラリなどの依存関係を管理・解決してくれ、パッケージの検索や更新、バージョン管理、アンインストールなどもできます。 また、npm を使ってインストールした複数のパッケージの環境を簡単に複製することができます。 npm は Node.js をインストールすると自動的にインストールされるので、使用するには Node.js をインストールする必要があります。 関連ページ： nvm を使って Node.js を Mac にインストール Node.js を Mac にインストール（nodebrew の使い方） Node.js がインストールされていれば、ターミナルで以下を実行して npm のバージョンを確認すること
1
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
【いまさらですが】package.jsonのdependenciesとdevDependencies - Qiita
ちゃんと使い分けてる? dependenciesいろいろ。 - Qiita