pnpm

pnpm im Überblick

pnpm ist ein schneller, platzsparender Paketmanager für Node.js — er teilt Pakete über einen zentralen Store und ist beliebt für Monorepos. Das pnpm-Team veröffentlicht regelmäßige Releases; die Major-Versionen können Änderungen am Lockfile-Format und Verhalten mit sich bringen.

Für Admins/Entwickler ist die eingesetzte pnpm-Version in CI und lokal bewusst zu pinnen (etwa über das packageManager-Feld), damit Builds reproduzierbar bleiben und das Lockfile-Format konsistent ist. Sicherheitsrelevant ist die Supply-Chain: pnpm führt Installations-Skripte von Abhängigkeiten aus — pnpm bietet Kontrolle darüber, welche Pakete Build-Skripte ausführen dürfen, was ein Sicherheitsvorteil ist und bewusst genutzt werden sollte. pnpm audit prüft auf bekannte Schwachstellen. Beim Update auf neue Major-Versionen die Release-Hinweise auf Lockfile- und Verhaltensänderungen prüfen und das Team auf denselben Stand bringen.