Upcoming breaking changes for npm v12｜npm v12 の今後の破壊的変更点について

次の npm メジャーバージョンである v12 では、npm install にセキュリティ関連のデフォルト変更が導入されます。これらの変更はすべて、現在の npm 11.16.0 以降で警告として利用可能なので、アップグレード前に準備することができます。v12 のリリースは 2026 年 7 月と見込まれています。 各変更は、今日自動的に実行される npm install の動作を、明示的にオプトインする必要がある動作へと転換します： allowScripts はデフォルトでオフになります：npm install は、プロジェクト内で明示的に許可されない限り、依存関係からの preinstall、install、postinstall スクリプトを実行しなくなります。これにはネイティブな node-gyp ビルド（binding.gyp を持ち、明示的なインストールスクリプトを持たないパッケージも含まれますが、npm がそのために暗黙的な node-gyp リビルドを実行するためブロックされます）も該当します。git、file、link 依存関係からの prepare スクリプトも同様にブロックされます。何がブロックされるかを確認するには、npm approve-scripts --allow-scripts-pending を実行してください。その後、信頼できるパッケージを npm approve-scripts で許可し、残りを npm deny-scripts でブロックします。結果として生成される許可リストは package.json に書き込まれ、コミットする必要があります。インストールルーチンでスクリプトを実行する場合は、npm 11.16.0 以降で警告を確認できます。 --allow-git はデフォルトで none（なし）になります：npm install は、明示的に --allow-git を指定しない限り、Git 依存関係（直接または間接的）を解決しなくなります。これにより、--ignore-scripts を使用していても Git 依存関係の .npmrc が Git 実行ファイルを上書きできるコード実行経路が閉ざされます。この変更は以前に 2026-02-18 に発表されており、npm 11.10.0 以降で利用可能です。 --allow-remote のデフォルト値が none に変更されます：npm install は、--allow-remote 経由で明示的に許可されない限り、https ターバル（直接または転送依存）などのリモート URL から依存関係を解決しなくなります。このフラグは npm 11.15.0 以降で使用可能です。関連する --allow-file および --allow-directory フラグのデフォルト値は v12 では変更されません。 準備方法 npm を 11.16.0 以降にアップグレードし、通常のインストールを実行して警告を確認してください。npm approve-scripts --allow-scripts-pending を実行して、スクリプトを持つパッケージを特定し、信頼できるものを承認し、更新された package.json をコミットします。その後、アップグレードしても実行されるのは承認したスクリプトのみとなり、未承認のものは停止します。詳細は、npm approve-scripts、npm deny-scripts、および allow-scripts 設定（npx およびグローバルインストール用）に関するドキュメントをご覧ください。コミュニティディスカッションでコメントや質問を共有してください。

npm v12 の今後の破壊的変更点について

背景や根拠まで確認しますか？

関連記事

調べる

選ぶ

サイト