🧩 pnpm 12 Beta 3 ไม่ใช่ release ที่ควรกดอัปแบบหลับตา แต่มันแ…

🧩 pnpm 12 Beta 3 ไม่ใช่ release ที่ควรกดอัปแบบหลับตา แต่มันแตะปัญหาที่ทีม monorepo เจอบ่อยมาก: lockfile ต้องนิ่ง, CI ต้อง frozen ได้, และ dependency policy ต้องไม่ทำให้ install ช้าจนทีมเลิกใช้

รอบนี้ pnpm แก้จุดเล็กที่ผลกระทบใหญ่กว่า headline ดูเยอะครับ โดยเฉพาะทีมที่ใช้ --lockfile-only, --frozen-lockfile, workspace link และเปิด minimumReleaseAge เพื่อลดความเสี่ยง supply-chain attack

ประเด็นหลักคือ pnpm จะบันทึก registry dependency ลง pnpm-lock.yaml พร้อม integrity hash เสมอ รวมถึงกรณี --lockfile-only

แปลเป็นภาษาคนทำ CI: ถ้า registry บางตัวไม่มี SRI metadata แล้ว lockfile ถูกเขียนแบบขาด integrity รอบถัดไปที่รัน pnpm install --frozen-lockfile อาจพังด้วย ERR_PNPM_MISSING_TARBALL_INTEGRITY ได้

อีกจุดคือ excludeLinksFromLockfile กับ dependency แบบ link: ใน workspace จะไม่ทำให้ peer suffix เพี้ยนจาก install ปกติ และ injected file: workspace dependencies ก็ไม่โดนผลข้างเคียงจาก setting นี้แล้ว

สิ่งที่น่าสนใจสำหรับทีมที่จริงจังเรื่อง security คือ performance ของ minimumReleaseAge

ฟีเจอร์นี้ช่วยหน่วง package ที่เพิ่ง publish ใหม่ เพื่อลดโอกาสโดน release อันตรายช่วงแรก ๆ แต่ต้นทุนคือ resolver ต้องคิดเยอะขึ้น รอบนี้ pnpm ลดงานซ้ำใน metadata และ semver parsing ทำให้ dependency resolution เบาลง โดยเฉพาะ graph ที่ peer dependency หนา ๆ

สรุปแบบใช้งานจริง:

• ถ้า CI เคย fail เพราะ lockfile ขาด integrity ให้จับตา beta นี้
• ถ้า monorepo ใช้ workspace link เยอะ จุด peer suffix คือสิ่งที่ควร test
• ถ้าเปิด minimumReleaseAge แล้ว install ช้าหรือกิน memory นี่คือสัญญาณว่า pnpm กำลังลดต้นทุนของ policy นั้น
• เพราะเป็น beta ให้ทดลองใน branch หรือ CI matrix ก่อน ไม่ใช่อัป production pipeline ทันที

ลิงก์ต้นทางอยู่ในคอมเมนต์แรกครับ

ทีมคุณใช้ minimumReleaseAge หรือยังปล่อย dependency ใหม่เข้าระบบทันทีเหมือนเดิม?

ถ้าอยากออกแบบ workflow ให้ AI, CI และ dependency policy ทำงานร่วมกันแบบตรวจสอบได้ SynapTech AI ช่วยวางระบบให้เป็นขั้นตอนจาก repo จริงได้ครับ

#DevTools #OpenSource #SupplyChainSecurity #NodeJS #SynapTechAI

---

📖 อ่านบทความเต็มบน Facebook | 🔔 ติดตาม SynapTech