Tema: npm
-
Vincular la identidad de publicación en npm y PyPI con los artefactos aprobados de cada versión
La publicación de confianza mediante OIDC elimina los tokens de publicación almacenados, pero su seguridad sigue dependiendo del flujo de trabajo autorizado. Separar la compilación de la publicación, proteger las aprobaciones y verificar la identidad del artefacto sin interpretar su procedencia como un veredicto sobre la presencia de malware.
-
«ERESOLVE unable to resolve dependency tree» de npm y los conflictos de peer dependencies
Desde npm 7, las peerDependencies se instalan automáticamente, y si ninguna versión puede satisfacer a la vez todos los rangos de peers, la instalación falla con 'npm error code ERESOLVE' ('npm ERR! code ERESOLVE' antes de npm 10.6). El artículo explica cómo leer las líneas Found/Could not resolve de npm para identificar los paquetes exactos en conflicto, y por qué --legacy-peer-deps o --force no deberían ser la respuesta por defecto.
-
Contener la propagación de gusanos de npm entre equipos de desarrollo y cuentas de publicación
ChainDrop y el incidente de Tensorlake muestran cómo el robo de credenciales durante la instalación puede dar lugar a publicaciones de paquetes no autorizadas. La contención debe abarcar la ejecución de dependencias, los permisos de publicación, la persistencia en repositorios y los artefactos de compilación contaminados.
-
Períodos de espera para versiones de paquetes: ajustes exactos, unidades y límites de aplicación
Los controles de antigüedad de versiones difieren entre npm, pnpm, uv, Renovate y Dependabot. Configurar las unidades correctas, comprobar el tratamiento de las marcas de tiempo y la resolución de dependencias transitivas, y mantener una vía explícita para las actualizaciones de seguridad urgentes.
-
Se ha instalado un paquete malicioso: contener la ejecución antes de sustituir las credenciales
Una propuesta de secuencia de respuesta ante paquetes maliciosos de npm o Python: detener la ejecución y la publicación, conservar pruebas, revocar las credenciales expuestas desde un sistema limpio, inspeccionar la persistencia en repositorios, reconstruir y verificar la recuperación.
Legible por máquina: JSON