A differenza di altri client npm, Bun non esegue script arbitrari del ciclo di vita per le dipendenze installate, come postinstall e build node-gyp. Questi script rappresentano un potenziale rischio per la sicurezza, poiché possono eseguire codice arbitrario sulla tua macchina.

NOTE

Bun include un allowlist predefinito di pacchetti popolari contenenti script `postinstall` che sono noti per essere sicuri. Puoi vedere questo elenco [qui](https://github.com/oven-sh/bun/blob/main/src/install/default-trusted-dependencies.txt).

---

Se vedi uno dei seguenti errori, probabilmente stai cercando di usare un pacchetto che usa postinstall per funzionare correttamente:

• error: could not determine executable to run for package
• InvalidExe

---

Per consentire a Bun di eseguire script del ciclo di vita per un pacchetto specifico, aggiungi il pacchetto a trustedDependencies nel tuo file package.json. Puoi farlo automaticamente eseguendo il comando bun pm trust <pkg>.

NOTE

Nota che questo consente solo script del ciclo di vita per il pacchetto specifico elencato in `trustedDependencies`, _non_ le dipendenze di quella dipendenza!

{
  "name": "my-app",
  "version": "1.0.0",
  "trustedDependencies": ["my-trusted-package"] 
}

---

Una volta aggiunto, esegui una nuova installazione. Bun reinstallerà le tue dipendenze e le installerà correttamente

rm -rf node_modules
rm bun.lock
bun install

---

Consulta Docs > Package manager > Trusted dependencies per la documentazione completa delle dipendenze attendibili.