저장소의 .npmrc에서 pnpm이 더 이상 환경 변수를 확장하지 않는 이유

pnpm은 이전에 ${ENV_VAR} 플레이스홀더를 발견하는 모든 곳에서 확장했습니다 — 방금 클론한 저장소 안에 있는 .npmrc 및 pnpm-workspace.yaml 파일도 포함해서 말입니다. 이는 악의적인 저장소가 사용자 환경의 비밀 정보를 탈취하는 수단이 될 수 있는 것으로 드러났습니다. 버전 v10.34.2 및 v11.5.3부터 pnpm은 저장소가 제어하는 레지스트리 및 자격 증명 설정에서 환경 변수를 확장하지 않습니다.

이는 보안 수정(GHSA-3qhv-2rgh-x77r)이며, 일부 설정에서는 호환성이 깨지는 변경입니다. 이 글에서는 공격 방식, 정확히 무엇이 변경되었는지, 그리고 마이그레이션 방법을 설명합니다.