JavaScriptパッケージシステム「npm」は巨大なバグを抱えていると指摘し、新たなパッケージシステムを開発する「vlt」。npm作者らの参加を発表

JavaScriptパッケージシステム「npm」は巨大なバグを抱えていると指摘し、新たなパッケージシステムを開発する「vlt」。npm作者らの参加を発表 npmに代わる新しいJavaScriptのパッケージシステム「vlt」（vōlt：ボールト）を開発しているvlt technologyは、同社にnpmの作者であるIsaac Z. Schlueter氏、npmのスタッフエンジニアリングマネージャであったDarcy Clarke氏、npmのCLIチームであったRuy Adornoらが参加すると発表しました。 Node.jsとnpmが作ったJavaScriptのエコシステム サーバサイドでJavaScriptを実行可能にしたNode.jsの登場と、そのNode.jsを基盤にJavaScriptのアプリケーションやモジュールなどをパッケージングして登録し、自由にダウンロード可能にしたレジストリで

[poliphilus]

いやその vlt とやらを npm として新しく作り直せよ。もう yarn だの pnpm だのと振り回されるのはうんざりだ。

[ultimatebreak]

フロントエンドのライブラリやフレームワークの変化よりも開発の下回りの変化が激しいのが一番つれえんだよなぁ

[koseki]

volta と volt と vlt があるらしい。うける → https://twitter.com/ZoltanKochan/status/1674568662257106947 / それでも n みたいな1文字の名前をつける阿呆よりはマシ

[fa11enprince]

また雨後の筍か、この界隈乱立させるの大好きだなぁ、私は黙ってnpmだけを使う。

[akymrk]

“npmパッケージのマニフェストがそのtarボールとは独立して公開され、必ずしもtarボールの内容とマニフェストが一致せず、そこが悪用されてマルウェアなどを依存関係の中に隠すことができて検出されない”

[abababababababa]

はー??涙

[shingo-sasaki-0529]

配布される成果物と、それを説明したマニフェストが別々に定義してるから脆弱性を抱えやすいってのはわかるけど、じゃあどうやって解決するんだろ。

[irimo]

大きくなると主張のぶつかり合いで引越しが発生する、新しい機構がどうなるかwkwk

[urtz]

標準化団体とか存在しないんだろうか

[for-my-internet-demo]

またやってる

[haatenax]

別に何が作られようと、自分の技術選定眼を信じて選んでいくだけ

[jgoamakf]

https://xkcd.com/927/ の出番だ

[nekoline]

面倒事が多い

[z67kjh]

Denoもnpmをサポートせざるを得なかったじゃん、で終わってる話なんだよね。そこ解決できるビジョンが生まれたのか？

[threewaygood]

もう車輪の再発明はお腹いっぱいっすよ

[NOV1975]

意味がわからん。脆弱性の原因が仕組みじゃなくて実装の問題なら直せよってだけだし、仕組みの問題ならこの新しいのがセーフティなのか信用するに足るかどうかどうやって判断すればいいのよ。

[strawberryhunter]

他の言語のnpm的なプログラムには、その巨大なバグは存在しないの？

[mayumayu_nimolove]

ヤーン

[coppieee]

node関連って分裂すごく多いよな

[buhoho]

似たようなの乱立しててよくわからんちん

[miiton]

npm yarn pnpm bun vlt

[yasu-log]

npmの森は深すぎて、新芽が育たない

[poad1010]

この記事をおすすめしました

[lli]

またか、と思うよねやっぱり。せめてマニフェストの移行など分散しない仕組みがあると嬉しい。

[nao-bt]

めも

[taguch1]

またか。

[sonots]

また何かできるのか…