Hacktoberfest 2026: những issue maintainer đã đánh dấu cho tháng Mười, đang mở và phù hợp người mới. Xem issue Hacktoberfest

CI installs with npm 10, so the allowScripts denials from #2712 do not apply there

Đã đóng
  • Có gì không ổn?
#2,715 0 bình luận 0 reaction 0 người được giao Xem trên GitHub

Maintainer thường phản hồi trong vòng 1 ngày

Chưa có ai nhận issue này.

Đánh giá

Độ khó
4/5
Thời gian dự kiến
3-5 ngày
Mức phù hợp với người mới
48/100
Loại issue
Lỗi
Độ rõ ràng
Khá rõ ràng
Mức độ hoạt động
Sôi nổi
Công nghệ
github-actions, node.js, typescript
Lĩnh vực
ci-cd, devops, security

Hướng nghiên cứu

Start with .github/workflows/main.yml and inspect the build, coverage, and package jobs that run npm install; compare their setup with the publish job’s pinned npm step. Check AGENTS.md for the exact pin rules and confirm the chosen npm version supports Node 22. Done when every dependency-installing job uses npm 11.19 or later and the affected CI jobs pass without lockfile or peer resolution issues.

Do mô hình lập chỉ mục viết ra từ nội dung của issue.

Mô tả

chore v2

Problem

#2712 denies the esbuild and fsevents install scripts through allowScripts in each v2 install. npm reads that policy only from 11.19 on. The build, coverage and package jobs in .github/workflows/main.yml use Node 22's bundled npm (10.x) and run npm install with it, so CI still runs both scripts. Copilot raised this on PR #2714.

The verify:install-scripts guard from #2712 reads lockfiles, so it enforces the review decision in CI regardless of npm version. What CI doesn't get is the blocking itself.

Proposed change

Before dependency installation, run npm >= 11.19 in every job that installs dependencies. For example, an exact-pinned npm install -g --ignore-scripts npm@<x.y.z> step, as the publish job already does for OIDC (#2483). Things to check:

  • Whether an exact pin should follow the credentialed-job rules in AGENTS.md (#2484). The package job builds an artifact that a credentialed job downloads.
  • Node 22's floor against the chosen npm version.
  • Whether CI on npm 11 then fails on anything else (lockfile format, peer resolution).

Scoring

Severity 2 (CI behaves as it does today; the scripts are not malicious, only unneeded) + urgency 2 + milestone 1 = 5 → Low.

Ngôn ngữ chính
TypeScript
Star
11.2k
Fork
1.6k
Merge trung bình
4 giờ 56 phút
Pull request đã merge (30 ngày)
155

Chuẩn bị môi trường

Bắt đầu từ đâu

  1. Đọc hết issue, rồi đọc hướng dẫn đóng góp của dự án.
  2. Bình luận trên issue rằng bạn sẽ nhận — tránh hai người làm cùng một việc.
  3. Fork repository và làm thay đổi trên một nhánh.
  4. Mở pull request có tham chiếu số hiệu của issue.

Issue khác của modelcontextprotocol/inspector

Tất cả issue của modelcontextprotocol/inspector

Issue tương tự

Thêm issue về TypeScript

Nhận issue mới trong hộp thư của bạn

Bản tóm tắt ngắn những issue GitHub phù hợp với người mới.