npm v12 يغير معنى التثبيت الآمن: افحص سكربتاتك قبل الترقية

لم يعد npm install في 2026 عملية بريئة بالكامل. مع وصول npm v12 كإصدار latest، بدأت npm تنقل بعض المخاطر من خانة “يعمل تلقائيا” إلى خانة “اسمح به بوعي”. هذا تغيير صغير في الواجهة، لكنه كبير في سلاسل التوريد البرمجية.

وفق إعلان GitHub Changelog في 8 يوليو 2026، أصبح تشغيل سكربتات دورة حياة الحزم مثل preinstall وinstall وpostinstall، ومعها بناء node-gyp الضمني، متوقفا افتراضيا ما لم تسمح به صراحة. كذلك أصبح حل الاعتماديات القادمة من Git أو من روابط بعيدة مقيدا افتراضيا عبر إعدادات --allow-git و--allow-remote. الهدف واضح: لا تجعل حزمة عابرة تشغل كودا على جهاز المطور أو خادم CI لمجرد أنها ظهرت في شجرة الاعتماديات.

هذا لا يعني أن مشروعك مكسور أو أن كل سكربت مشبوه. بعض الحزم تحتاج بناءا محليا أو خطوات إعداد حقيقية. الفرق أن عليك الآن معرفة من يستحق الثقة. ابدأ بتجربة الترقية في فرع منفصل، ثم شغل التثبيت والبناء كما يفعل CI. إذا ظهرت حزم تحتاج سكربتات، راجعها بالاسم والسبب، ولا تضف سماحا عاما كي “يمر البناء” فقط.

الخطوة العملية هي استخدام npm approve-scripts --allow-scripts-pending لمراجعة السكربتات المعلقة، ثم تثبيت قائمة السماح الناتجة في package.json. وبعدها راجع أي اعتماد على GitHub shorthands أو tarballs من روابط مباشرة؛ إن لم تكن ضرورية، استبدلها بإصدارات منشورة في السجل.

هناك زاوية نشر أيضا. توكنات npm granular access tokens التي كانت تتجاوز 2FA لن تصلح لكل شيء طويلا: تتوقع npm أن تفقد هذه التوكنات القدرة على تنفيذ تغييرات حساسة في الحسابات والحزم والمنظمات في أوائل أغسطس 2026، ثم تتجه في يناير 2027 نحو منع النشر المباشر بها. المسار الأفضل للمشاريع الجادة هو trusted publishing عبر OIDC، أو staged publishing حيث ترفع CI الحزمة إلى مرحلة انتظار، ثم يوافق maintainer بشري مع 2FA.

الخلاصة: لا تؤجل الترقية حتى يوم تعطل الإصدار. اجعل npm v12 فرصة لتنظيف سكربتات التثبيت، حذف مصادر الاعتماديات الغريبة، واستبدال توكن النشر الطويل بثقة قصيرة العمر قابلة للتدقيق.