cat ./posts/pnpm-minimum-release-age.en.md
# pnpm v11のminimumReleaseAgeをプロジェクトでも1440分に明示し、公開直後の危ない依存バージョンを避けるサプライチェーン対策をまとめます。
grep -R tag ./posts
まだコメントはありません。
minimumReleaseAge は、npmに公開されたばかりのパッケージバージョンをすぐにはインストールしないための設定です。このブログCMSでは pnpm-workspace.yaml に minimumReleaseAge: 1440 を明示しました。1440分、つまり1日待つ設定です。
悪意あるパッケージや乗っ取られたリリースは、公開直後に発覚して削除されることがあります。公開から一定時間を置くことで、危ないバージョンを即座に取り込む確率を下げます。
minimumReleaseAge: 1440
pnpm v11では既定値も1440分ですが、リポジトリに明示しておくことで、チームやCIから見ても意図が分かります。
• pnpm audit --prod: 既知の脆弱性を検出する
• minimumReleaseAge: 新しすぎるリリースを最初から避ける
片方だけではなく、両方を使うのが安全です。auditは過去の情報に強く、minimumReleaseAgeは公開直後のサプライチェーン事故に強い、という分担です。
緊急パッチが必要な依存だけは例外にできます。ただし通常運用では、すぐ入れたい気持ちより、1日待つ安全性を優先します。
Turnstile site key が未設定です。