Node.jsのパッケージマネージャ「npm」、トークンの権限をより細かく設定できるように

　米npmは、Node.js向けパッケージマネージャ「npm」で。トークンの権限をより細かく設定できるようにしたと12月6日（現地時間）に発表した。npmはArtistic License 2.0で公開しているオープンソース・ソフトウェアだ。

　npmでは、パッケージの公開やダウンロードに「トークン」という資格情報が必要になる。トークンは組織の管理者が発行するものだが、npmはトークンのずさんな管理によって外部に流出し、パッケージやソフトウェアも流出している例があるとしている。

　そこでnpmは、トークンにより細かい資格情報を設定できるようにした。従来は読み取り専用、自動化、公開の3種類だけだったが、どのパッケージにアクセスできるのかを細かく指定したり、特定の組織へのアクセスを許可するトークンを発行できるようにしたり、トークンに有効期限を設定したり、トークンを使ったアクセスをIPアドレスで制限できるようにしたりするなど、トークンでどのようなことができるのかをより細かく設定できるようにした。

　さらに、npmパッケージの利用者に向けたセキュリティ対策として、これまで有料ユーザーのみに解放していた機能である「Code Explorer」を無料ユーザーにも開放した。Code Explorerを利用すると、npmのポータル画面から、パッケージの中に入っているソースコードをすべて確認できるようになる。「npm install」コマンドでインストールしてしまう前に、Code Explorerでソースコードの中身を確認することで、悪意のあるコードが混入していないか確認することができる。