🚀 2025년의 pnpm

2025년은 pnpm에게 변화의 해였습니다. 저희는 패키지 관리의 보안 모델을 재정의하는 데 주력했지만, 성능과 개발자 경험에서도 상당한 개선을 이루었습니다.

기본적으로 수명 주기 스크립트를 차단하는 것부터 전역 가상 스토어 도입까지, 2025년에 출시된 주요 기능을 돌아봅니다.

사용#

다운로드 통계에 따르면 pnpm은 2024년보다 2배 더 많이 다운로드되었습니다!

홈페이지 리디자인#

홈페이지가 새롭게 디자인된 것을 눈치채셨을 수도 있습니다! 이번 리디자인은 저희의 가장 주요한 후원사인 Bit.cloud 덕분에 가능했습니다.

새 홈페이지는 Bit 컴포넌트로 구축되었으며, 작업의 상당 부분은 Bit의 AI 에이전트인 Hope AI를 사용해 이루어졌습니다. 이제 저희만의 디자인 시스템도 있습니다.

JSNation 발표#

올해는 개인적으로 큰 이정표가 된 해였습니다. 대규모 국제 콘퍼런스에서 처음으로 현장 발표를 했기 때문입니다. 바로 6월 암스테르담에서 열린 JSNation입니다. 이런 멋진 기회를 주신 JSNation 팀에 감사드립니다!

커뮤니티에서 pnpm이 얼마나 잘 알려져 있는지, 그리고 얼마나 많은 사람이 업무에서 사용하고 있는지 알고 기분 좋게 놀랐습니다!

제 발표 주제는 구성 종속성였으며, 녹화본은 여기에서 보실 수 있습니다.

주요 기능#

이제 2025년 동안 pnpm v10에서 출시된 가장 중요한 변경 사항을 자세히 살펴보겠습니다.

기본 보안#

올해 가장 큰 변화는 pnpm이 "기본 보안"으로 전환한 것입니다. 이번 pnpm v10.0에서는 설치된 패키지를 암묵적으로 신뢰하지 않게 되었습니다.

수명 주기 스크립트 차단(v10.0)#

수년간 pnpm install은 전체 종속성 트리가 임의의 코드를 실행하도록 신뢰한다는 것을 의미했습니다. 이번 v10에서는 이를 비활성화했습니다. pnpm은 더 이상 기본적으로 preinstall 또는 postinstall 스크립트를 실행하지 않으며, 이를 통해 광범위한 공급망 공격 벡터를 제거합니다.

이 제어를 세분화하기 위해 v10.26에서 allowBuilds를 도입하여, 이전의 onlyBuiltDependencies를 더 유연한 구성으로 대체했습니다:

allowBuilds:
  esbuild: true
  # 특정 버전만 허용
  nx@21.6.4: true

심층 방어(v10.16 & v10.21)#

스크립트에서 멈추지 않았습니다. 악성 패키지가 디스크에 도달하기 전에 잡아낼 수 있도록 여러 겹의 방어 계층을 추가했습니다:

• minimumReleaseAge: "제로데이" 릴리스(예: 게시된 지 24시간이 지나지 않은 패키지)를 차단하여 커뮤니티가 악성 업데이트를 신고할 시간을 확보합니다.
• trustPolicy: no-downgrade: 이전 버전보다 출처 증명이 약한 업데이트(예: CI/CD 검증 없이 게시된 버전)의 설치를 방지합니다.
• blockExoticSubdeps: 신뢰할 수 있는 종속성이 신뢰할 수 없는 소스의 전이 종속성을 가져오는 것을 방지합니다.

전역 가상 스토어(v10.12)#

초창기 pnpm의 혁신 중 하나는 파일 중복을 제거하여 디스크 공간을 절약하는 콘텐츠 주소 지정 스토어였습니다. 이번 v10.12에서는 **전역 가상 스토어**로 이를 한 단계 더 발전시켰습니다.

이전에는 프로젝트마다 자체 node_modules 구조가 있었습니다. 이제 enableGlobalVirtualStore: true를 사용하면 pnpm이 디스크의 중앙 위치에서 프로젝트로 종속성을 직접 링크할 수 있습니다. 이는 다음을 의미합니다:

1. 대규모 디스크 절약: 동일한 종속성 그래프가 프로젝트 간에 공유됩니다.
2. 더 빠른 설치: react@19를 사용하는 프로젝트가 10개 있어도 pnpm은 이를 전역적으로 한 번만 링크하면 됩니다.

네이티브 JSR 지원(v10.9)#

새로운 JSR 레지스트리를 네이티브로 지원하게 되었습니다. 이제 jsr: 프로토콜을 사용하여 JSR에서 패키지를 직접 설치할 수 있습니다:

pnpm add jsr:@std/collections

이는 package.json에 올바르게 매핑되며, npm 종속성과 함께 JSR 패키지 고유의 해석 규칙을 매끄럽게 처리합니다.

구성 종속성(v10.0)#

모노레포와 복잡한 설정을 위해 **구성 종속성**을 도입했습니다. 이 기능을 사용하면 훅, 패치, 빌드 권한과 같은 pnpm 구성을 여러 프로젝트에서 공유하고 중앙에서 관리할 수 있습니다.

구성 종속성은 주 종속성 그래프가 해석되기 전에 node_modules/.pnpm-config에 설치됩니다. 즉, 이를 사용하여 다음을 할 수 있습니다:

• 여러 저장소에서 .pnpmfile.cjs 훅을 공유합니다.
• 패치 파일을 patchedDependencies용으로 중앙에서 관리합니다.
• 빌드 스크립트 실행이 허용된 패키지의 공유 목록을 allowBuilds용으로 유지합니다.

configDependencies:
  pnpm-plugin-my-company: "1.0.0+sha512-..."

이를 통해 pnpm 구성이 버전 관리되고 일관되며, 패키지 관리자가 필요로 하는 바로 그 시점에 사용할 수 있도록 보장합니다.

자동 JavaScript 런타임 관리(v10.14 & v10.21)#

저희는 꽤 오래전부터 Node.js 런타임 관리를 지원해 왔습니다. 2025년에는 이를 확장하여 Deno와 Bun 같은 다른 런타임도 지원하게 되었습니다.

이제 devEngines.runtime을 통해 package.json에 필요한 런타임을 지정할 수 있습니다:

{
  "devEngines": {
    "runtime": {
      "name": "node",
      "version": "24.6.0"
    }
  }
}

pnpm은 해당 프로젝트의 스크립트를 실행할 때 그 특정 버전의 런타임을 자동으로 다운로드하여 사용합니다. 이로써 "제 컴퓨터에서는 잘 되는데요"는 옛말이 됩니다. 팀원 모두가 pnpm이 전적으로 관리하는 완전히 동일한 런타임을 사용하기 때문입니다.

앞으로의 계획#

저희는 이미 pnpm v11.0 작업을 시작했으며, 여기에는 눈에 띄는 성능 개선이 포함되어 있습니다. 전역 가상 스토어는 아직 기본적으로 활성화되지 않습니다. 향후 메이저 릴리스에서 기본적으로 활성화할 수 있도록 버그 수정과 누락된 기능 작업을 진행할 예정입니다.