#pnpm

pnpm 11.0はminimumReleaseAge 1440分（1日）をデフォルトON、Yarn 4.10はnpmMinimalAgeGate 3日をデフォルト化、npm v11.10は明示設定。Axios（4-5時間）、debug+chalk波（2.5時間）、Shai-Hulud 2.0（12時間）の短い露出窓を踏まえた現実的な設定値と、ignore-scriptsでesbuild・sharp・node-gypが壊れるパターンの回避策

Next.js 16 + Shadcn/ui + Railwayのモノレポ実測で、キャッシュなしCIのinstallがpnpmでnpmの半分以下になる一方、Radix UIの未宣言依存で壊れる場面まで出ていた。速度よりhoisting設定を読む記事。

pnpm 10.0.0〜10.25に2件の深刻な脆弱性（CVE-2025-69263、CVE-2025-69264）が発見された。ロックファイル整合性バイパスとリモートコード実行の危険性があり、即座のアップデートが必要。

Next.js/Reactの脆弱性対策でnpm installが謎のエラーで失敗。pnpmに切り替えたら即解決した記録