pnpm

#Programming

JavaScript パッケージマネージャ。公式は "Fast, disk space efficient package manager" を標榜し、monorepo / workspace 用途を主軸に据える

特徴

Content-addressable store — 全パッケージをグローバルストアに単一保存
Hard link で project の node_modules に配置し、複数プロジェクト間での disk 重複を回避（npm が依存ごとにコピーするのと対照的）
Non-flat node_modules — 直接依存のみを symlink で root に配置、未宣言依存への参照を防ぐ
Workspace サポートで monorepo を扱う

Fetching description...

pnpm/

v11

#Security pnpm v11.0.0 リリース。サプライチェーン攻撃対策が大幅に強化された major update サプライチェーン緩和 minimumReleaseAge デフォルト 1 日（1440 分）— 新着 24h 以内のパッケージを resolve しない blockExoticSubdeps デフォルト true — exotic な subdep をブロック strictDepBuilds デフォルト true、allowBuilds で install scripts を明示的に allowlist 管理 pnpm sbom を新コマンドとして追加（SBOM 生成）その他の breaking changes Node.js 22+ 必須、pnpm 本体が pure ESM 化 .npmrc は auth/registry のみ。他設定は pnpm-workspace.yaml / 新 config.yaml へ移管グローバルパッケージはパッケージごとに隔離ディレクトリで管理 https://github.com/pnpm/pnpm/releases/tag/v11.0.0
Aikido Security/

safe-chain

#Security npm / pip など各種パッケージマネージャの download をローカルプロキシで intercept し、マルウェアを含むパッケージのインストールを未然にブロックする OSS 対応 PM: npm, npx, yarn, pnpm, pnpx, rush, rushx, bun, bunx, pip, pip3, uv, poetry, uvx, pipx, pdm 特徴リアルタイムスキャンに Aikido Intel (Open Source Threat Intelligence) を利用公開から 48 時間未満のパッケージをデフォルトでブロック（サプライチェーン攻撃緩和） Tokenless / no build data shared — credentials も telemetry も不要 Bash / Zsh / Fish / PowerShell の shell integration、CI/CD 用 shim、private registry 対応 https://github.com/AikidoSec/safe-chain