待验证50% 置信事实精确时间
npm允许包在安装阶段执行脚本（如postinstall），且默认不强制签名验证。
1
来源数
50%
置信度
长期有效
时效性
2026/10/19
首次发现
来源
涉及实体
相关事实
待验证从 npm 源安装的插件现在会以 npm pack --ignore-scripts 方式获取并进行完整性校验，包的安装脚本不再自动运行75% 相似待验证生产部署中建议使用 npm ci、pnpm install --frozen-lockfile 等冻结安装命令，而非 npm install71% 相似待验证典型的 npm 发布工作流通常包含以下阶段：检出代码 → 安装 Node.js 环境 → npm ci 安装依赖 → 运行测试 → 执行 npm version 打 tag → 使用 NPM_TOKEN 机密发布到 registry。70% 相似待验证npm的prefix决定npm install -g全局安装工具包的存放位置，包会放在prefix目录下的node_modules子文件夹中69% 相似待验证设置 npm 路径后会在用户目录下自动生成 .npmrc 配置文件，记录当前的 npm 配置项69% 相似
引用此条事实
Stable URI
https://kongchang.com/claim/1072666API
curl https://kongchang.com/api/v1/knowledge/claims/1072666MCP
get_claim(id=1072666)