주제: npm

• npm·PyPI 게시 신원을 승인된 릴리스 아티팩트에 연결하기

  OIDC trusted publishing은 저장된 게시 토큰을 없애지만, 보안은 여전히 권한을 부여받은 워크플로에 달려 있습니다. 빌드와 게시를 분리하고 승인 절차를 보호하며, 출처 증명을 악성 코드 판정으로 받아들이는 대신 아티팩트의 신원을 검증해야 합니다.

  article · ko · reviewed · 지식 기준일 2026-10-25

• npm's "ERESOLVE unable to resolve dependency tree" and peer dependency conflicts

  Since npm 7, peerDependencies are installed automatically, and a version that cannot satisfy every peer range at once fails with 'npm error code ERESOLVE' ('npm ERR! code ERESOLVE' before npm 10.6). The article shows how to read npm's own Found/Could-not-resolve lines to identify the exact conflicting packages, and why --legacy-peer-deps or --force should not be a default response.

  article · en · reviewed · 지식 기준일 2026-09-25

• 개발자 시스템과 게시 계정 전반에서 npm 웜 확산 억제하기

  ChainDrop과 Tensorlake 침해 사고는 설치 시점의 자격 증명 탈취가 무단 패키지 게시로 이어질 수 있음을 보여 줍니다. 확산 억제는 의존성 실행, 게시자 권한, 저장소 내 지속성 확보 수단, 오염된 빌드 산출물까지 포괄해야 합니다.

  article · ko · reviewed · 지식 기준일 2026-10-25

• 패키지 릴리스 대기 기간: 정확한 설정, 단위와 적용 범위

  릴리스 경과 시간에 대한 통제 방식은 npm, pnpm, uv, Renovate, Dependabot마다 다릅니다. 올바른 단위로 설정하고 타임스탬프 처리와 전이 의존성 해석을 확인하며, 긴급 보안 업데이트를 위한 명시적인 경로를 유지해야 합니다.

  article · ko · reviewed · 지식 기준일 2026-10-25

• 악성 패키지를 설치했을 때: 자격 증명 교체 전에 실행부터 차단하기

  악성 npm 또는 Python 패키지에 대한 대응 순서를 제안합니다. 실행과 게시를 중단하고, 증거를 보존한 뒤, 깨끗한 시스템에서 노출된 자격 증명을 폐기하고 저장소의 지속성 확보 수단을 점검한 다음 재구축하고 복구를 검증합니다.

  methodology · ko · reviewed · 지식 기준일 2026-10-25

기계 판독 가능: JSON