npm
聚合包含「npm」的文章，方便按工具、配置项或错误现象继续排查。
升级 npm v12 后依赖装不上：postinstall、node-gyp、Git 和远程依赖怎么排查
npm v12 默认不再执行依赖生命周期脚本，也不再解析 Git 和远程 URL 依赖。本文按现象定位 postinstall、node-gyp、Git 依赖和 CI 安装失败，并给出最小放行与验证方法。
npm依赖安装CI/CD
npm 供应链攻击后，开发者要怎么检查依赖、lockfile 和 CI 密钥
npm 包被投毒后，不要只删 node_modules。先确认是否装过恶意版本，再查 lockfile、生命周期脚本、GitHub Actions、npm token、云凭据和 CI 日志，并按可能泄露处理。
npm供应链安全CI/CD