pnpm 11 выпустил Release Candidate — новые функции и улучшения

pnpm выпустил Release Candidate для версии 11 — с новыми возможностями, которые делают управление пакетами более безопасным и эффективным. Обновление включает поддержку модулей ESM, что важно для разработчиков, использующих современные технологии JavaScript.

Что нового в pnpm 11

pnpm 11 RC улучшает безопасность, добавляя настройки по умолчанию для защиты цепочки поставок, а также новый индекс хранилища на основе SQLite. Главные изменения включают:

• Поддержка ESM, требующая Node.js версии 22 и выше. Поддержка более старых версий удалена, что может требовать от разработчиков обновления окружения.
• Новые команды: pnpm ci, pnpm sbom, pnpm clean и другие, облегчающие управление проектами.
• Упрощённые настройки сборок с новой опцией allowBuilds вместо нескольких предыдущих параметров, что делает конфигурацию менее запутанной.
• Изоляция глобальных установок: каждый пакет, установленный с помощью pnpm add -g, теперь находится в своей директории, что минимизирует конфликты между проектами.

Причины обновления

Ужесточение настроек безопасности связано с недавними инцидентами в экосистеме npm. Параметр minimumReleaseAge теперь по умолчанию составляет 1 день, что означает, что новые версии не будут доступны для установки в течение 24 часов после публикации. Это позволяет снизить вероятность использования уязвимых обновлений.

По словам пользователей на Hacker News, pnpm 10.x закрыл множество векторов атаки, что делает его гораздо более безопасным выбором по сравнению с npm. Однако некоторые пользователи выражают сомнение, что задержки в публикации могут замедлить критические исправления.

Что это значит для разработчиков в СНГ

Для разработчиков в СНГ использование pnpm 11 РС может привести к повышению безопасности и удобству работы с проектами, особенно в контексте растущих угроз в области кибербезопасности. Если ваша команда использует JavaScript, это обновление потребует внимательного изучения новых возможностей, чтобы не упустить улучшения в управлении зависимостями.

Следующий шаг — полное обновление, которое, как ожидается, станет доступным в ближайшие месяцы. Разработчики могут протестировать Release Candidate уже сейчас, используя команду pnpm self-update next-11.