pnpm - Tags - uni/blog

1posts

2023年4月22日3 min

Q. npm, pnpm, yarn, npxの違いを一ミリも理解していない

npm、pnpm、yarn、npxの違いを一ミリも理解していないと相談を受けた際のメモ。

#Yarn#npm#pnpm

Bits · 21 件

pnpm 11.15-11.19

pnpm update / outdated の GitHub Actions 更新、update --changeset、publishConfig.name、TTY なし login、大規模 workspace の解決ピークメモリ削減を含む。

7月18日

pnpm 11.11-11.14

ワークスペース向けに pnpm change / lane / version -r と doctor・access・team が追加された。path traversal の修正と cold-cache 解決時のピークメモリ削減も含む。

7月4日

pnpm 11.10

レジストリ認証用の _auth 設定が追加され、トークンと宛先ホストを一体で渡しリポジトリ設定からのリダイレクトを防ぐ。pnpm self-update next-12 で Rust 移植の v12 も導入できる。

6月23日

pnpm 11.9

チェックサムを返せないレジストリ向けに tarball integrity を lockfile へ記録し、pnpm sbom に --exclude-peers が追加された。循環 lockfile での audit 性能と peer 解決の非決定論も修正されている。

6月21日

pnpm、npm レジストリサーバー pnpr

Rust 製の npm レジストリ互換サーバー pnpr が pnpm モノレポ内で実験公開された。プライベートレジストリ、上流キャッシュ、サーバー側依存解決による install 高速化に対応する。

6月11日

pnpm、GHSA-3qhv-2rgh-x77r（リポジトリ .npmrc の環境変数窃取）

リポジトリ内 .npmrc と pnpm-workspace.yaml で環境変数プレースホルダを展開し、依存解決時に CI トークン等を攻撃者レジストリへ送る脆弱性。v10.34.2 と v11.5.3 で修正され、リポジトリ側の ${...} 展開は停止する破壊的変更を含む。

4月28日

pnpm 11

Node.js 22 以上が必須で本体は pure ESM になった。供給網向けの既定が強まり、ストアは SQLite インデックス、publish 系は npm CLI 非依存のネイティブ実装に切り替わった。

4月25日

pnpm、pacquet による Rust 再実装ロードマップ

pnpm 本体の Rust 移植を pacquet で段階的に進める計画が公開された。ロックファイル固定インストールと依存解決はほぼ同等、残りは非 install 系コマンドと pnpm への opt-in 統合が中心である。

2025年10月2日

pnpm 10.18

遅いメタデータ取得と tarball ダウンロードを検知して警告するようになった。閾値は fetchWarnTimeoutMs と fetchMinSpeedKiBps で調整できる。

2025年9月17日

pnpm 10.17、minimumReleaseAgeExcludeのパターンサポート

pnpm 10.17リリース。minimumReleaseAgeから指定されたパッケージを除外するminimumReleaseAgeExcludeがパターン記法をサポート。

2025年9月12日

pnpm 10.16、minimumReleaseAgeとfinder functions

pnpm 10.16でminimumReleaseAge設定とfinder functionsが追加された。minimumReleaseAgeにより、パッケージ公開から指定時間経過後のインストールを遅延させ、悪意のあるバージョンのインストールリスクを低減できる。

2025年8月19日

pnpm v10.15 がリリース

pnpm v10.15 がリリース。未使用のカタログエントリーを削除する cleanupUnusedCatalogs 設定や、設定依存関係からの pnpmfile の自動ロード機能が追加された。また、pnpm config コマンドが改善され、プロパティパスの指定や JSON 形式の入出力に対応した。

2025年6月11日