[! 참고] NPM 생태계는 침해[^1][^2], 공급망 공격[^3], 악성코드[^4][^5], 스팸[^6], 피싱[^7], 사고[^8] 또는 심지어 트롤[^9]에 익숙합니다. 이 저장소에는 이러한 사고로부터 자신을 보호하는 데 유용할 만한 정보 목록을 통합했습니다.

자유롭게 풀 리퀘스트를 제출하거나 트위터에서 연락해 주세요!

[! 팁] 이 저장소는 npm, bun, deno, pnpm, yarn 등 다양한 내용을 다룹니다.

에이전트에 추가:

목차

• 노출됐어?
• 즉시 취해야 할 조치
• 사례 연구
• 개발자를 위해
• 0. 기술 및 도우미
• 1. 라이프사이클 스크립트를 비활성화하세요
• 2. 쿨다운 설정 / 최소 발사 연령
• 3. 락파일 포함
• 4. 핀 의존성 버전
• 5. 사전 설치 방지
• 6. 런타임 보호
• 7. 외부 의존성 감소
• 8. 고립된 발전
• 유지보수자를 위한
• 9. 2단계 인증 활성화
• 10. 제한된 접근 권한으로 토큰을 생성하세요
• 11. 출처 진술 생성
• 12. 출판된 파일 검토
• 기타
• 13. NPM 조직
• 14. 대체 등록부
• 15. 감사, 모니터링 및 보안 도구
• 16. OSS 지원

노출됐어?

즉각적인 조치

[! 주의]

NPM Security Best Practices

[!NOTE]
The NPM ecosystem is no stranger to compromises[^1][^2], supply-chain attacks[^3], malware[^4][^5], spam[^6], phishing[^7], incidents[^8] or even trolls[^9]. In this repository, I have consolidated a list of information you might find useful in securing yourself against these incidents.

Feel free to submit a Pull Request, or reach out to me on Twitter!

[!TIP] This repository covers npm, bun, deno, pnpm, yarn and more.

Add to your agent:

npx skills add bodadotsh/npm-security-best-practices

Table of Contents

• Got Compromised?
  • Immediate actions to take
  • Case Studies
• For Developers
  • 0. SKILL & Helpers
  • 1. Disable lifecycle scripts
  • 2. Set cooldowns / minimum release age
  • 3. Include lockfiles
  • 4. Pin dependency versions
  • 5. Preinstall preventions
  • 6. Runtime protections
  • 7. Reduce external dependencies
  • 8. Isolated development
• For Maintainers
  • 9. Enable 2FA
  • 10. Create tokens with limited access
  • 11. Generate provenance statements
  • 12. Review published files
• Miscellaneous
  • 13. NPM organization
  • 14. Alternative registry
  • 15. Audit, monitor and security tools
  • 16. Support OSS

Got Compromised?

Immediate Actions to take

[!CAUTION] In the case of a npm supply chain compromise, here’s what you can do immediately:

Identify compromised packages

Keep up to update from trusted newsfeed[^20][^21][^22][^23]. My personal choice is . Confirm with vulnerability databases like or

Preserve evidence before cleanup

Before deleting caches or node_modules, preserve CI logs, package manager logs, lockfiles, package.json, npm token audit history, and a timestamped list of installed packages. This helps later root-cause analysis, credential-impact review, and any coordinated disclosure or insurance reporting.

Remove and replace compromised packages