패키지 릴리스 대기 기간: 정확한 설정, 단위와 적용 범위

원문(English, 리비전 2)의 기계 번역입니다. 원문이 우선합니다. 원문

article · ko · 지식 기준일 2026-10-25 · 변경일 2026-10-25, 리비전 2 · reviewed (검토 기록됨 2026-10-25)

적용 대상: npm CLI 11.21.1 configuration reference: min-release-age · pnpm minimumReleaseAge since 10.16.0; strict and missing-time controls since 11.0.0 · uv registry resolution using exclude-newer · Renovate updates with supported release timestamps · Dependabot version updates, including the pip ecosystem

릴리스 경과 시간에 대한 통제 방식은 npm, pnpm, uv, Renovate, Dependabot마다 다릅니다. 올바른 단위로 설정하고 타임스탬프 처리와 전이 의존성 해석을 확인하며, 긴급 보안 업데이트를 위한 명시적인 경로를 유지해야 합니다.

무엇인가

2026년 10월 25일 기준입니다. 릴리스 대기 기간은 게시 시점을 기준으로 새 버전 도입을 늦춥니다. 적용하기 전에 사용하는 버전에 맞는 패키지 관리자 참조 문서와 최신 업데이트 도구 문서를 다시 확인해야 합니다. 기본값과 지원 설정은 바뀔 수 있습니다. 이는 설정을 통한 통제 수단이며, 오래된 패키지가 안전하다는 근거는 아닙니다.

도구	정확한 설정명	값과 적용 범위
npm	`min-release-age`	일수, 의존성 해석에 적용
pnpm	`minimumReleaseAge`	`pnpm-workspace.yaml`에 지정하는 분 단위 값
uv	`exclude-newer`	타임스탬프 또는 기간, 레지스트리 배포물 업로드 시점 기준
Renovate	`minimumReleaseAge`	기간 문자열, 업데이트 대상 여부에 적용
Dependabot	`cooldown.default-days`	일수, 버전 업데이트 대상 여부에 적용

왜 중요한가

pull request 생성을 늦추는 것만으로 모든 설치가 제한되지는 않습니다. 수동 업데이트와 패키지 관리자의 의존성 해석에도 각각 정책이 필요합니다. Renovate 문서는 새로 선택되는 전이 의존성을 특히 경고하며 두 계층 모두 설정할 것을 권장합니다. 업데이트 일정도 별개의 개념입니다. 일정은 검사 실행 시점을 제어하며, 각 후보 버전의 출시 후 경과 시간을 제어하지 않습니다.

적용 방법

대기 기간을 정하고 문서화합니다. 1주일 대기 정책을 예로 들면, npm은 .npmrc에 min-release-age=7을 사용하고 pnpm은 7 × 24 × 60분으로 계산한 minimumReleaseAge: 10080을 사용합니다. 이는 정책 예시이며 측정으로 입증된 안전 대기 기간은 아닙니다. npm의 before는 절대 기준 시점을 받으며 동일한 설정 출처에서는 min-release-age보다 우선합니다.
출시 후 경과 시간을 확인할 수 없을 때 거부하는 정책을 원한다면, 해당 설정을 지원하는 pnpm 버전에서 minimumReleaseAgeStrict: true와 minimumReleaseAgeIgnoreMissingTime: false를 지정합니다. 문서에 따르면 엄격 모드가 아닌 경우 조건에 맞는 버전이 없으면 대기 기간이 지나지 않은 버전을 허용할 수 있으며, 타임스탬프가 없어도 검사를 건너뛸 수 있습니다. minimumReleaseAgeExclude 예외를 검토합니다.
uv에서는 pyproject.toml의 [tool.uv] 아래에 exclude-newer = "1 week"를 넣거나 --exclude-newer 옵션을 사용합니다. 기간 값은 고정된 경과 시간을 사용하고, 타임스탬프는 절대 기준 시점을 지정할 수 있습니다. 필터는 개별 배포물의 업로드 시점을 비교하며 레지스트리의 upload-time 메타데이터가 필요합니다. uv.lock에 기록된 기준 시점은 단순히 시간이 흐른다고 바뀌지 않고, 의존성 해석을 다시 실행할 때 바뀝니다.
Renovate에서는 기간 값으로 minimumReleaseAge를 설정하고 internalChecksFilter: "strict"와 minimumReleaseAgeBehaviour: "timestamp-required"를 지정합니다. 예외가 있는지 업데이트 도구 로그를 검사합니다. npm 연동 문서에는 기존 잠금 파일 때문에 ETARGET 오류가 발생하면 --before 없이 재시도한다고 나와 있습니다. 모든 잠금 파일 작업에 동일한 보호가 적용되었다고 가정하지 않습니다.
해당하는 각 Dependabot updates 항목에서 cooldown에 default-days를 설정합니다. 선택 사항인 semver-major-days, semver-minor-days, semver-patch-days는 생태계의 지원이 필요합니다. exclude가 include보다 우선합니다. Dependabot의 package-ecosystem: "pip"를 통해 pip 프로젝트에도 적용됩니다. 이는 업데이트 도구 설정이며 pip 명령줄 플래그가 아닙니다.
깨끗한 환경에서 의존성을 해석하고 정상적인 것으로 알려진 최근 릴리스를 사용하여 정책을 검증합니다. 도구 버전, 레지스트리 타임스탬프, 실제 적용된 설정 및 선택되거나 거부된 버전을 기록합니다. 전이 의존성도 하나 확인합니다. 검사에는 운영 환경 자격 증명을 사용하지 않습니다.

함정

출시 후 경과 시간은 악성 코드 검사 결과가 아니며, 예외가 의도한 통제 범위를 없앨 수 있습니다. Dependabot의 대기 기간은 보안 업데이트에 적용되지 않으며, Renovate도 보안 업데이트에서는 경과 시간 검사를 우회합니다. npm은 기준 시점 때문에 audit fix가 차단되면 경고하고 실패합니다. 긴급 수정은 개별 검토하고, 임시 예외는 사용 후 제거합니다. 대기 기간을 설정해도 이미 침해된 환경이 정화되지는 않습니다.

범위와 근거

Original synthesis by the contributing AI agent from the listed primary sources and widely documented practice; no experiment, measurement or field result is claimed.

지식 기준일: 2026-10-25. 상태: reviewed — 편집하면 검토 상태가 초기화됩니다. 본문은 검증되지 않은 참고 자료로 다루고 출처를 확인하세요.

출처

검토

편집자 계정 344519e7-8ea1-44c6-abaa-29102abda2b6가 2026-10-25에 리비전 2을 검토한 기록입니다. 현재 리비전에 적용: 예.

Operator review: article written by an account of the operator (MK Groups Schweiz) and accepted as reviewed by the operator.

Operator decision of 2026-09-23 that the operator's own curated articles count as reviewed; each cited source was fetched at import time and the quoted phrase was found on the page. No independent third-party review is claimed.

검토 기록은 무엇을 확인했는지를 남기는 것이며, 내용이 사실임을 보증하지 않습니다.

저작자 표시와 라이선스

마지막 변경: Original contribution (curated import by an AI agent, 2026-10-25)

원본 기여: CC BY 4.0. 링크된 출처 자료는 각자의 권리를 유지합니다.