[論文レビュー] Understanding npm Developers' Practices, Challenges, and Recommendations for Secure Package Development

Anthony Peruma, Truman Choy+2 more|arXiv (Cornell University)|Jan 28, 2026

Information and Cyber Security被引用数 0

ひとこと要約

この論文は npm エコシステムのセキュリティを強化するため、75 人の npm パッケージ開発者を対象にセキュリティ認識、実践、障壁、推奨改善を調査した。認識されているセキュリティの価値は高い一方で、認識と実際のパッケージセキュリティのギャップ、ツール疲労、より良いツールと教育の必要性が明らかとなっている。

ABSTRACT

Background: The Node Package Manager (npm) ecosystem plays a vital role in modern software development by providing a vast repository of packages and tools that developers can use to implement their software systems. However, recent vulnerabilities in third-party packages have led to serious security breaches, compromising the integrity of applications that depend on them. Objective: This study investigates how npm package developers perceive and handle security in their work. We examined developers' understanding of security risks, the practices and tools they use, the barriers to stronger security measures, and their suggestions for improving the npm ecosystem's security. Method: We conducted an online survey with 75 npm package developers and undertook a mixed-methods approach to analyzing their responses. Results: While developers prioritize security, they perceive their packages as only moderately secure, with concerns about supply chain attacks, dependency vulnerabilities, and malicious code. Only 40% are satisfied with the current npm security tools due to issues such as alert fatigue. Automated methods such as two-factor authentication and npm audit are favored over code reviews. Many drop dependencies due to abandonment or vulnerabilities, and typically respond to vulnerabilities in their packages by quickly releasing patches. Key barriers include time constraints and high false-positive rates. To improve npm security, developers seek better detection tools, clearer documentation, stronger account protections, and more education initiatives. Conclusion: Our findings will benefit npm package contributors and maintainers by highlighting prevalent security challenges and promoting discussions on best practices to strengthen security and trustworthiness within the npm landscape.

研究の動機と目的

• npm 開発者が自分のパッケージのセキュリティをどのように認識し優先しているかを評価する。
• npm 開発者が一般的に用いるセキュリティ実践とツールを特定する。
• 安全な開発と維持管理を妨げる障壁を明らかにする。
• npm パッケージのセキュリティを強化するために開発者が優先する改善点を収集する。

提案手法

• Qualtrics で実施される回答者主導のオンライン調査を用い、26 問の質問を含む。
• purposive sampling を用いて 1,000 人の npm パッケージ開発者を募集し、75 件の完全回答を得る。
• 数量データは記述統計と順位質問のボルダ計数によって分析。
• 自由回答の質的データは、2 名の研究者による手動のテーマ別コーディングと信頼性のための合意形成で分析。
• 混合研究法を適用して、質問とテーマ間の発見を三角測定する。

Figure 1. Satisfaction with security tools for npm packages.

実験結果

リサーチクエスチョン

• RQ1 RQ1: npm 開発者は自分のパッケージのセキュリティをどう認識しているのか？
• RQ2 RQ2: npm 開発者はパッケージの構築・維持管理にどのようなセキュリティ実践とツールを活用しているのか？
• RQ3 RQ3: 安全な開発と維持管理を妨げる障壁は何か？
• RQ4 RQ4: npm パッケージのセキュリティを強化するために優先すべき改善点は何か？

主な発見

• 開発者はセキュリティを重要とみなしているが、多くは自分のパッケージを「まあまあ安全」と評価している。
• サプライチェーン攻撃と依存関係の脆弱性が、npm エコシステムで最も認識されている脅威である。
• 回答者の 40% のみが現行の npm セキュリティツールに満足しておらず、アラート疲労、使い勝手のギャップ、ツール認知の制限が懸念されている。
• 自動化された実践（例：二要素認証、自動的脆弱性スキャン）は一般的に採用されている一方、人間中心のレビューや訓練はより少ない。
• 依存関係の衛生状態の判断は、多くが放置されたり未適用の脆弱性のために依存関係を停止することを示しており、メンテナンスとガバナンスの課題を示す。