npm 설치 기본값과 단계별 토큰 제한
당시 소식
npm 12 공지는 의존성 생명주기 스크립트·암묵적 node-gyp 빌드를 명시적 허용 대상으로 바꾸고, Git·원격 URL 의존성 해석도 허용하지 않는 기본값으로 설명한다. 설치 기본값이며 설치 코드가 무해하다는 보장은 아니다.
같은 공지는 npm 2FA 우회 토큰의 민감한 관리 작업 제한을 2026-08 초로 예고했다. 직접 게시 제한은 별도 단계로 2027-01 무렵을 목표로 제시하며 신뢰 기반 게시·사람이 승인하는 단계적 게시로 전환하도록 안내했다.
리뉴얼 시점의 후속 확인
2026-07-31 후속 공지는 npm 2FA 우회 granular access token의 민감한 관리 작업을 제한하고 대화형 2FA 확인을 요구한다고 알린다. GitHub 개인 액세스 토큰·GitHub App 토큰·GITHUB_TOKEN은 해당 변경에서 명시적으로 제외한다.
해당 후속 공지도 직접 게시 제거는 2027-01 목표로 설명한다. 후속 게시 제한이 완료되었다고 알린 것은 아니다.
적용 전 검토할 점
업그레이드 전 네이티브 빌드·의존성 출처를 검증하고 전체 허용 대신 스크립트 허용 목록을 검토할 것을 제안합니다. CI 제공자의 현재 게시 지원을 확인해야 하며 일정 공지만으로 모든 레지스트리 동작의 변경 완료를 단정하면 안 됩니다.
편집 검토 제안입니다. 제품을 직접 적용·실험한 결과가 아닙니다.
문장별 원문 인용 근거
npm 12 공지는 의존성 생명주기 스크립트·암묵적 node-gyp 빌드를 명시적 허용 대상으로 바꾸고, Git·원격 URL 의존성 해석도 허용하지 않는 기본값으로 설명한다. 설치 기본값이며 설치 코드가 무해하다는 보장은 아니다.
Dependency lifecycle scripts (i.e., preinstall , install , postinstall ) and implicit node-gyp builds no longer run unless explicitly allowed.
인용 출처 ↗
--allow-git defaults to none
인용 출처 ↗
--allow-remote defaults to none
인용 출처 ↗
같은 공지는 npm 2FA 우회 토큰의 민감한 관리 작업 제한을 2026-08 초로 예고했다. 직접 게시 제한은 별도 단계로 2027-01 무렵을 목표로 제시하며 신뢰 기반 게시·사람이 승인하는 단계적 게시로 전환하도록 안내했다.
We expect this change to take effect in early August 2026.
인용 출처 ↗
We expect this change to take effect around January 2027.
인용 출처 ↗
move automated publishing to trusted publishing (OIDC) or staged publishing with a human approval step
인용 출처 ↗
2026-07-31 후속 공지는 npm 2FA 우회 granular access token의 민감한 관리 작업을 제한하고 대화형 2FA 확인을 요구한다고 알린다. GitHub 개인 액세스 토큰·GitHub App 토큰·GITHUB_TOKEN은 해당 변경에서 명시적으로 제외한다.
npm granular access tokens (GATs) configured to bypass 2FA can no longer perform sensitive account, org, and package management actions.
인용 출처 ↗
This does not affect GitHub personal access tokens, GitHub App tokens, or GITHUB_TOKEN in Actions.
인용 출처 ↗
해당 후속 공지도 직접 게시 제거는 2027-01 목표로 설명한다. 후속 게시 제한이 완료되었다고 알린 것은 아니다.
We are targeting January 2027 for this update.
인용 출처 ↗
해당 기준일의 한국어 다이제스트: 2026-07-09. 인용과 원문 맥락을 편집 검토했으며 독립적인 실험 검증은 아닙니다.
댓글