npmが100万個目のパッケージを達成！そこから何を学べる？

6月4日は歴史的な日です。私たちの仲間であるLiran Talの誕生日（Liran、おめでとう！）であるだけでなく、npmレジストリに100万個目のパッケージが登録された日でもあります。npmはJavaScriptパッケージ用のパッケージマネージャーです。npmの中核をなすのは公開レジストリで、npmクライアントからアクセスできるJavaScriptパッケージをホストし、JavaScriptアプリケーションの構築を支えています。

npmを利用していて、より安全に使う方法に関心がある方は、npmを安全に使うための10のベストプラクティスをまとめたnpmセキュリティチートシートをご覧ください。

セキュリティインシデントを含むnpmの歩み

• 2010年1月：npmはIsaac Z. Schlueterによって作成され、JavaScriptで記述されました。

• 2016年3月：人気のJavaScriptパッケージleft-padが、名前をめぐる紛争によりnpmリポジトリから公開停止されました。JavaScript業界に大きな混乱が生じた後、公開停止に関するポリシーが強化されました。

• 2018年7月：eslint-scopeパッケージの悪意あるバージョンが公開され、ユーザーのnpm認証情報が攻撃者に漏えいしました。

• 2018年11月：悪意あるパッケージflatmap-streamがnpmに公開され、人気パッケージevent-streamの依存関係に追加されました。このパッケージはビットコインウォレットのCopayを標的にしていました。

• 2019年6月4日：npmに100万個目のパッケージが登録されました。

npmの人気パッケージトップ10

npmのウェブサイトには、人気パッケージのトップ10が掲載されています。以下に、脆弱性情報とともに紹介します。興味深いことに、requestパッケージではタイポスクワッティングが17件試みられています。

人気を総ダウンロード数で考えると、直接依存と間接依存の両方で広く使われているライブラリが分かります。

上記10個のパッケージのうち、セキュリティ脆弱性が含まれていることが判明したのはdebugだけでした。

数字で見るnpm

このグラフが示すように、npmの人気と成長の規模は驚異的です。直近数年間に登録されたパッケージ数を示しています。実際、2017年1月からわずか2年余りで、プラットフォームは250%成長しています。

2019年に毎月ダウンロードされたパッケージ数を見ると、npmの利用が月ごとに伸びていることも分かります。

npmに関する統計をもう少しご紹介します。

• 100万個の登録済みパッケージ（この記事の執筆後に登録されたものはさらに増えています！）

• 先週のダウンロード数は109億回

• 先月のダウンロード数は469億回

• 最も人気のあるパッケージはdebugで、週あたりのダウンロード数は4,000万回を超えます

• ダウンロード数で1,000位のパッケージmerge-streamは、週あたり約350万回ダウンロードされています

• 25万個のパッケージが2018年にnpmへ追加

• 11万個のパッケージが2019年にnpmへ追加（現時点）

• Snyk CLIのnpmパッケージは週あたり14万4,000回ダウンロードされています！

• Snykが所有するパッケージは41個です。やりました！

GitHubユーザーのdominykasとNearFormの同僚は、Node.js FoundationのPackage Maintenanceワーキンググループで進められていた作業の一環として、GitHubのIssueにいくつかの統計を投稿しました。このデータから、パッケージのメンテナンス状況は作者によって大きく異なることが分かります。

まとめ

最大規模のオープンソース言語レジストリを運営・維持しているnpmと、エコシステムを支え、この素晴らしい節目の達成に貢献したコミュニティのメンテナーや開発者の皆さんに、心からお祝いを申し上げます。オープンソースパッケージを利用する際は、既知の脆弱性を含まないバージョンを使うことが非常に重要です。業界をリードするSnyk Vulnerability Databaseを使えば、アプリケーションを無料で簡単にテストできます。今すぐお試しいただき、スキャン結果をすぐにご確認ください。

今すぐ無料のSnykアカウントでJavaScriptアプリをテストしましょう。