فرقی نمی کند فرانت اند توسعه می دهید یا بک اند؛ اگر با اکوسیستم جاوااسکریپت کار کرده باشید، احتمالاً بارها دستور زیر را اجرا کرده اید:

npm install

این دستور در ظاهر فقط dependencyهای پروژه را نصب می کند، اما در پشت صحنه اتفاقات دیگری نیز رخ می دهد. بسیاری از پکیج ها هنگام نصب، اسکریپت هایی مانند preinstall، install و postinstall را اجرا می کنند.

این اسکریپت ها معمولاً برای دانلود فایل های باینری، کامپایل ماژول های Native، تولید فایل های موردنیاز یا انجام تنظیمات اولیه استفاده می شوند.

اما همین قابلیت، یکی از مهم ترین مسیرهای حملات Supply Chain در اکوسیستم جاوااسکریپت محسوب می شود.

به همین دلیل، npm قابلیت جدیدی به نام approve-scripts را معرفی کرده است تا توسعه دهندگان بتوانند کنترل بیشتری روی اجرای این اسکریپت ها داشته باشند و تنها به پکیج های مورد اعتماد اجازه اجرای کد هنگام نصب را بدهند.

در این مقاله با دلیل معرفی npm approve-scripts، نحوه عملکرد آن و بهترین روش استفاده از این قابلیت در پروژه های واقعی آشنا می شویم.

Lifecycle Script چیست؟

قبل از اینکه با approve-scripts آشنا شویم، بهتر است بدانیم Lifecycle Script چیست.

بسیاری از پکیج های npm فایل package.json خود را همراه با اسکریپت هایی مانند موارد زیر منتشر می کنند:

preinstall
install
postinstall

این اسکریپت ها در مراحل مختلف نصب پکیج اجرا می شوند و معمولاً برای کارهایی مانند دانلود فایل های باینری، کامپایل ماژول های Native، تولید فایل های موردنیاز یا انجام تنظیمات اولیه استفاده می شوند.

برای مثال، پکیج هایی مانند esbuild یا sharp بدون اجرای این اسکریپت ها به درستی کار نخواهند کرد.

بنابراین وجود Lifecycle Scriptها ذاتاً بد نیست؛ مشکل زمانی ایجاد می شود که یک پکیج آلوده یا مخرب بتواند از همین مکانیزم سوءاستفاده کند.

مشکل کجاست؟

وقتی دستور زیر را اجرا می کنید:

npm install

ممکن است ده ها یا حتی صدها dependency نیز همراه پروژه نصب شوند.

شما معمولاً فقط چند پکیج اصلی را انتخاب کرده اید، اما آن ها خودشان به ده ها dependency دیگر وابسته هستند که بسیاری از آن ها را حتی نمی شناسید.

اگر یکی از این dependencyها دارای اسکریپت نصب مخرب باشد، همان اسکریپت می تواند روی سیستم توسعه دهنده یا سرور CI/CD اجرا شود.

چرا npm این قابلیت را معرفی کرد؟

یکی از مهم ترین دلایل معرفی approve-scripts، افزایش حملات Supply Chain در اکوسیستم جاوااسکریپت است.

برای مثال، در سپتامبر ۲۰۲۵ مهاجمان با استفاده از یک حمله فیشینگ، به حساب یکی از Maintainerهای شناخته شده npm دسترسی پیدا کردند و نسخه های آلوده چندین پکیج بسیار پرکاربرد از جمله:

chalk
debug
ansi-styles
supports-color

را منتشر کردند.

این پکیج ها مجموعاً بیش از ۲ میلیارد دانلود هفتگی داشتند و هزاران پروژه در سراسر دنیا به آن ها وابسته بودند.

در چنین شرایطی، تنها کافی بود توسعه دهنده یا سرور CI/CD دستور زیر را اجرا کند:

npm install

تا نسخه آلوده dependency نیز دریافت شود و در صورت وجود اسکریپت نصب، کد مخرب روی سیستم اجرا شود.

این اتفاق نشان داد که اعتماد کامل به تمامی dependencyها و اسکریپت های نصب آن ها می تواند خطرناک باشد.

به همین دلیل، npm قابلیت approve-scripts را معرفی کرد تا اجرای این اسکریپت ها تحت کنترل توسعه دهنده قرار بگیرد.

npm approve-scripts چیست؟

npm approve-scripts دستوری است که به شما اجازه می دهد مشخص کنید کدام پکیج ها مجاز به اجرای Lifecycle Scriptهای خود هستند.

اطلاعات این تصمیم در بخشی به نام allowScripts در فایل package.json ذخیره می شود.

برای مثال:

{
  "allowScripts": {
    "sharp@0.34.2": true,
    "esbuild@0.25.5": true
  }
}

در این مثال، تنها نسخه های مشخص شده از sharp و esbuild اجازه اجرای اسکریپت نصب را دارند.

اگر نسخه جدیدی از این پکیج ها منتشر شود، npm دوباره از شما می خواهد درباره اجرای اسکریپت آن تصمیم بگیرید.

مشاهده پکیج های تأییدنشده

اگر بخواهید ببینید کدام پکیج ها هنوز برای اجرای اسکریپت تأیید نشده اند، کافی است دستور زیر را اجرا کنید:

npm approve-scripts --allow-scripts-pending

این دستور فقط وضعیت پروژه را بررسی می کند و هیچ تغییری در فایل های پروژه ایجاد نمی کند.

نمونه خروجی:

Pending install scripts:

- sharp
- esbuild
- @swc/core

تأیید یک یا چند پکیج

برای تأیید یک پکیج:

npm approve-scripts sharp

برای چند پکیج:

npm approve-scripts sharp esbuild @swc/core

پس از تأیید، npm آن ها را در بخش allowScripts فایل package.json ثبت می کند.

آیا می توان همه پکیج ها را یکجا تأیید کرد؟

بله.

npm approve-scripts --all

اما این روش معمولاً پیشنهاد نمی شود.

هدف اصلی این قابلیت این است که توسعه دهنده بداند کدام dependencyها هنگام نصب کد اجرا می کنند و فقط به پکیج هایی که واقعاً به آن ها اعتماد دارد اجازه این کار را بدهد.

اگر همه پکیج ها را بدون بررسی تأیید کنید، بخش مهمی از مزیت امنیتی این قابلیت را از دست خواهید داد.

جلوگیری از اجرای اسکریپت یک پکیج

اگر بخواهید یک dependency هیچ وقت اجازه اجرای اسکریپت نصب نداشته باشد، می توانید از دستور زیر استفاده کنید:

npm deny-scripts puppeteer

در این صورت npm این تصمیم را نیز در package.json ذخیره می کند و در نصب های بعدی، اسکریپت های آن پکیج اجرا نخواهند شد.

بهترین روش استفاده در پروژه های واقعی

اگر روی یک پروژه تیمی یا محصولی که در محیط Production اجرا می شود کار می کنید، پیشنهاد می شود این روند را دنبال کنید:

۱. بعد از نصب dependencyها بررسی کنید چه پکیج هایی اسکریپت نصب دارند.

npm approve-scripts --allow-scripts-pending

۲. فقط dependencyهایی را تأیید کنید که آن ها را می شناسید و به آن ها اعتماد دارید.

npm approve-scripts sharp esbuild @swc/core

۳. تغییرات فایل package.json را Commit کنید تا تمام اعضای تیم و محیط CI/CD دقیقاً از همان سیاست امنیتی استفاده کنند.

جمع بندی

npm approve-scripts یکی از مهم ترین قابلیت های امنیتی جدید npm است که کنترل اجرای Lifecycle Scriptهای dependencyها را در اختیار توسعه دهنده قرار می دهد.

با افزایش حملات Supply Chain و آلوده شدن پکیج های محبوب، دیگر نمی توان به صورت پیش فرض به تمام dependencyها اعتماد کرد. استفاده از approve-scripts کمک می کند تنها پکیج هایی که واقعاً به آن ها اعتماد دارید، هنگام نصب کد اجرا کنند.

اگر روی پروژه های حرفه ای، متن باز یا محصولاتی با کاربران واقعی کار می کنید، بهتر است از همین حالا این قابلیت را به بخشی از فرآیند توسعه و CI/CD خود تبدیل کنید.

این قابلیت به تنهایی جلوی تمام حملات Supply Chain را نمی گیرد، اما یکی از مهم ترین لایه های دفاعی برای کاهش ریسک اجرای کدهای ناشناس در زمان نصب dependencyها محسوب می شود.

آشنایی با دستور npm approve-scripts؛ لایه جدید امنیتی npm

علی صفری

نظرات