امنیت Node.js در اکتبر ۲۰۲۶؛ کنترل نسخه پیش از استقرار

نام فایل: node-policy.json؛ این فایل را کامل و بدون حذف سطرها ذخیره کنید.

{
  "reviewedOn": "2026-10-25",
  "maximumAgeDays": 30,
  "minimumByMajor": {
    "22": "22.23.4",
    "24": "24.22.1",
    "26": "26.12.1"
  }
}

این اعداد خط مبنای بررسی‌شده در ۲۵ اکتبر ۲۰۲۶ هستند. پیش از استفادهٔ بعدی منابع رسمی و عمر سیاست را بررسی کنید؛ نسخهٔ پذیرفته‌شدهٔ امروز تضمین دائمی نیست.

نام فایل: check-node.mjs؛ این فایل را کامل و بدون حذف سطرها ذخیره کنید.

import { readFileSync } from 'node:fs';
import { pathToFileURL } from 'node:url';

export function assessVersion(version, policy, today = new Date().toISOString().slice(0, 10)) {
  const match = /^v?(\d+)\.(\d+)\.(\d+)$/.exec(version);
  if (!match) return { allowed: false, reason: 'Not a reviewed stable version', version };
  const current = match.slice(1).map(Number);
  const minimum = policy.minimumByMajor[String(current[0])];
  if (!minimum) return { allowed: false, reason: 'Major branch is not in this policy', version };
  const age = (Date.parse(today) - Date.parse(policy.reviewedOn)) / 86400000;
  if (!Number.isFinite(age) || age < 0 || age > policy.maximumAgeDays) {
    return { allowed: false, reason: 'Policy needs a fresh review', version, minimum };
  }
  const required = minimum.split('.').map(Number);
  const allowed = current[1] > required[1] || (current[1] === required[1] && current[2] >= required[2]);
  return { allowed, version, minimum, reviewedOn: policy.reviewedOn,
    reason: allowed ? 'Meets this dated baseline' : 'Below the reviewed baseline' };
}

if (process.argv[1] && import.meta.url === pathToFileURL(process.argv[1]).href) {
  const policy = JSON.parse(readFileSync(new URL('./node-policy.json', import.meta.url), 'utf8'));
  const result = assessVersion(process.version, policy);
  console.log(JSON.stringify(result, null, 2));
  process.exitCode = result.allowed ? 0 : 1;
}

node check-node.mjs را اجرا کنید. خروجی صفر عبور از سیاست و خروجی یک توقف است. این فایل فقط نسخهٔ مفسر جاری را می‌سنجد و چیزی نصب یا ارتقا نمی‌دهد.

نام فایل: test-node-policy.mjs؛ این فایل را کامل و بدون حذف سطرها ذخیره کنید.

import test from 'node:test';
import assert from 'node:assert/strict';
import { readFileSync } from 'node:fs';
import { assessVersion } from './check-node.mjs';

const policy = JSON.parse(readFileSync(new URL('./node-policy.json', import.meta.url), 'utf8'));
const check = version => assessVersion(version, policy, '2026-10-25');
test('all reviewed baseline versions pass', () => {
  for (const version of ['22.23.4', '24.22.1', 'v26.12.1', '24.23.0']) {
    assert.equal(check(version).allowed, true);
  }
});
test('previous patches, unknown branches and prereleases are refused', () => {
  for (const version of ['22.23.3', '24.22.0', '26.12.0', '25.9.0', '26.12.1-rc.1', 'not-a-version']) {
    assert.equal(check(version).allowed, false);
  }
});
test('an old or future policy is not treated as current assurance', () => {
  assert.equal(assessVersion('24.22.1', policy, '2026-12-01').allowed, false);
  assert.equal(assessVersion('24.22.1', policy, '2026-10-01').allowed, false);
});

با node --test test-node-policy.mjs سه گروه آزمون اجرا می‌شود. زمان آزمون ثابت است تا نتیجه با تاریخ اجرای لپ‌تاپ یا CI به‌طور اتفاقی تغییر نکند.

نام فایل: upgrade-evidence.mjs؛ این فایل را کامل و بدون حذف سطرها ذخیره کنید.

import { spawnSync } from 'node:child_process';
import { readFileSync, writeFileSync } from 'node:fs';
import { assessVersion } from './check-node.mjs';

const probe = spawnSync(process.execPath, ['--version'], { encoding: 'utf8', shell: false });
if (probe.status !== 0) throw new Error('The selected runtime could not report its version');
const policy = JSON.parse(readFileSync(new URL('./node-policy.json', import.meta.url), 'utf8'));
const assessment = assessVersion(probe.stdout.trim(), policy);
const evidence = { checkedAt: new Date().toISOString(), platform: process.platform,
  architecture: process.arch, assessment };
writeFileSync('upgrade-evidence.json', JSON.stringify(evidence, null, 2) + '\n', { flag: 'wx' });
console.log(JSON.stringify(evidence, null, 2));
process.exitCode = assessment.allowed ? 0 : 1;

این فایل را در پوشهٔ کاری آزمایش اجرا کنید. upgrade-evidence.json با حالت انحصاری ایجاد می‌شود و کد خروج با نتیجهٔ دروازه برابر است؛ در runtime قدیمی‌تر خروجی یک طبیعی است.