Инженеры GitHub представили npm 12 , в котором серьезно переработали безопасность механизма установки зависимостей. Lifecycle-скрипты, зависимости из Git-репозиториев и зависимости, устанавливаемые по удаленным URL, теперь требуют явного разрешения. Главное изменение затронуло параметр allowScripts, который теперь отключен по умолчанию. Это означает, что скрипты preinstall, install и postinstall, а также сборка нативных модулей через node-gyp больше не выполняются автоматически при установке пакетов. Аналогичным образом изменилось поведение еще двух механизмов. Параметр –allow-git теперь имеет значение none, поэтому npm не станет загружать прямые и косвенные Git-зависимости без явного разрешения
