Hacktoberfest 2026: le issue che i maintainer hanno segnato per ottobre, aperte e adatte ai principianti. Sfoglia le issue Hacktoberfest

CI installs with npm 10, so the allowScripts denials from #2712 do not apply there

Aperta
  • Qualcosa non va?
#2,715 0 commenti 0 reazioni 0 assegnatari Vedi su GitHub

I maintainer di solito rispondono entro 1 giorno

Nessuno ha ancora preso questa issue.

Valutazione

Difficoltà
4/5
Tempo stimato
3-5 giorni
Idoneità per principianti
48/100
Tipo di issue
Bug
Chiarezza
Abbastanza chiara
Stato di attività
Attiva
Stack tecnologico
github-actions, node.js, typescript
Ambito
ci-cd, devops, security

Direzione di ricerca

Start with .github/workflows/main.yml and inspect the build, coverage, and package jobs that run npm install; compare their setup with the publish job’s pinned npm step. Check AGENTS.md for the exact pin rules and confirm the chosen npm version supports Node 22. Done when every dependency-installing job uses npm 11.19 or later and the affected CI jobs pass without lockfile or peer resolution issues.

Scritto dal modello di indicizzazione a partire dal testo della issue.

Descrizione

chore v2

Problem

#2712 denies the esbuild and fsevents install scripts through allowScripts in each v2 install. npm reads that policy only from 11.19 on. The build, coverage and package jobs in .github/workflows/main.yml use Node 22's bundled npm (10.x) and run npm install with it, so CI still runs both scripts. Copilot raised this on PR #2714.

The verify:install-scripts guard from #2712 reads lockfiles, so it enforces the review decision in CI regardless of npm version. What CI doesn't get is the blocking itself.

Proposed change

Before dependency installation, run npm >= 11.19 in every job that installs dependencies. For example, an exact-pinned npm install -g --ignore-scripts npm@<x.y.z> step, as the publish job already does for OIDC (#2483). Things to check:

  • Whether an exact pin should follow the credentialed-job rules in AGENTS.md (#2484). The package job builds an artifact that a credentialed job downloads.
  • Node 22's floor against the chosen npm version.
  • Whether CI on npm 11 then fails on anything else (lockfile format, peer resolution).

Scoring

Severity 2 (CI behaves as it does today; the scripts are not malicious, only unneeded) + urgency 2 + milestone 1 = 5 → Low.

Lingua principale
TypeScript
Stelle
11.1k
Fork
1.5k
Merge medio
4h 14m
PR unite (30g)
162

Preparare l'ambiente

Come iniziare

  1. Leggi tutta la issue e poi la guida ai contributi del progetto.
  2. Commenta sulla issue per dire che te ne occupi tu — evita che due persone facciano lo stesso lavoro.
  3. Fai un fork del repository e lavora su un branch.
  4. Apri una pull request che faccia riferimento al numero della issue.

Altre issue di modelcontextprotocol/inspector

Tutte le issue di modelcontextprotocol/inspector

Issue simili

Altre issue su TypeScript

Ricevi le nuove issue nella tua casella

Un breve riepilogo di issue GitHub adatte ai principianti.