npm install exécutait du code arbitraire depuis 16 ans

On appelait ça de la DX npm 12 vient d'y mettre fin, et ça pète des CI partout un lundi matin npm 12 est sorti le 8 juillet Le changement d'un an de réflexion tient en une ligne npm install ne lance plus les preinstall, install et postinstall de tes dépendances, sauf si tu les autorises à la main Même les builds natifs node-gyp sautent Tes dépendances en Git direct, bloquées Les tarballs distants, bloqués C'est la plus grosse refonte sécu de npm depuis des années Et la raison est concrète Axios, Mastra, des paquets pesant jusqu'à 100 millions de downloads, piratés via un simple postinstall par des groupes nord-coréens Et franchement, enfin pnpm et bun le bloquent par défaut depuis un moment, npm arrive bon dernier Un paquet random ne peut plus exécuter du code sur ta machine juste parce que tu l'installes De l'autre côté tu vas passer ta semaine à faire npm approve-scripts, paquet par paquet, en priant que le build passe Passe à npm 11.16 avant de migrer, tu verras les warnings arriver Alors, npm qui bloque tout par défaut, ça te sauve ou ça te ralentit ?