GitHub ในฐานะเจ้าของระบบจัดการแพ็กเกจ npm ประกาศฟีเจอร์ด้านความปลอดภัยใหม่อีก 2 อย่างดังนี้

• granular access token นักพัฒนาเจ้าของโครงการสามารถให้สิทธิการเข้าถึงแก่นักพัฒนาคนอื่นๆ ได้ละเอียดขึ้น สามารถให้สิทธิเป็นรายเรื่องได้ ไม่ต้องให้สิทธิเต็ม ดังนั้นถ้า token หลุดออกไป (ตัวอย่างตามข่าวเก่า) ก็จำกัดความเสียหายได้ดีขึ้น นอกจากนี้ token ยังมีกำหนดวันหมดอายุ (นานสูงสุด 1 ปี) และจำกัดกลุ่ม IP ของผู้ใช้งานได้ด้วย
• code explorer เดิมทีหากผู้ใช้ npm ต้องการตรวจสอบโค้ดว่าปลอดภัยหรือไม่ จำเป็นต้องดาวน์โหลดไฟล์ npm ไปติดตั้งก่อนซึ่งอาจไม่ปลอดภัย ทางแก้คือใช้ code explorer ที่ดูโค้ดได้จากเว็บ npm portal แทน แต่เดิมทีมันเป็นฟีเจอร์สำหรับผู้ใช้แบบเสียเงินเท่านั้น ล่าสุดคือ GitHub เปิดให้ทุกคนใช้งานฟรี

npm ยังอัพเดต นโยบายบังคับนักพัฒนาต้องล็อกอิน 2FA ว่าเริ่มขยายไปยังแพ็กเกจ npm ที่มีการดาวน์โหลดมากกว่า 1 แสนครั้งต่อสัปดาห์ หรือมีแพ็กเกจอื่นเรียกใช้งานเกิน 500 แพ็กเกจ โดยแพ็กเกจเหล่านี้มีสัดส่วนการใช้งานราว 93% ของทราฟฟิกทั้งหมด

ที่มา - GitHub