postinstall è un hook del ciclo di vita di npm che può essere eseguito dopo il completamento dell'installazione di un pacchetto. In pratica, consente agli autori dei pacchetti di eseguire script automaticamente durante npm install, il che ნიშნავს che una dipendenza può comportarsi come codice attivo invece che come un download passivo.
Questo è importante nella sicurezza informatica perché l'esecuzione al momento dell'installazione è un comune vettore di attacco alla supply chain. Un pacchetto typosquattato o compromesso può usare postinstall per scaricare payload, modificare file o cercare segreti su una macchina di sviluppo o su un runner CI. Negli ambienti Web3, questo può mettere a rischio le credenziali del wallet, le chiavi private o le seed phrase. I difensori riducono l'esposizione esaminando la provenienza dei pacchetti, limitando dove possibile gli script di ciclo di vita, monitorando attività anomale dei processi o di rete durante le installazioni e mantenendo i materiali sensibili del wallet fuori dagli endpoint che compilano software.