JavaScriptの各パッケージマネージャーでCooldown設定が導入されたバージョンまとめ

サプライチェーン攻撃の流れでたまたま最近調べていたので、せっかくなので対象バージョンやどのPull Requestで導入されたものなのかなどを細かくまとめます。

npm

npm v11.10.0 から使える、単位は日。

.npmrc

min-release-age=7

yarn v4.10.0 から使える、単位は分。

.yarnrc.yml

npmMinimalAgeGate: 10080

yarn v4.11.0 からは、文字列での指定も可能。

.yarnrc.yml

npmMinimalAgeGate: "7d"

pnpm v10.16 から使える、単位は分。

pnpm-workspace.yaml

minimumReleaseAge: 10080

bun v1.3 から使える、単位は秒。

bunfig.toml

[install]
minimumReleaseAge = 604800

deno v2.5.5 から使える、単位は分。

もしくは文字列での指定も可能 (ISO 8601 や RFC3339形式)。

deno.json

{
  "minimumDependencyAge": 10080
}

deno.json

{
  "minimumDependencyAge": "P7D"
}