npm/pnpm/bun/deno: 依存パッケージの install スクリプトを既定で止める

サプライチェーン攻撃の多くは postinstall などのライフサイクルスクリプトで動く。pnpm・bun・deno は依存のスクリプトを既定では実行しない。npm でも設定で止められる。

npm: .npmrc に
ini
```
ignore-scripts=true
```
（ネイティブビルドが必要なパッケージは、個別に npm rebuild <pkg> する）
pnpm（v10 以降）: 依存のビルドスクリプトは承認制。許可するときは pnpm approve-builds、または設定ファイルで許可リストを管理する（最近のバージョンでは allowBuilds 設定も紹介されている）
bun: package.json の trustedDependencies に載せたパッケージだけスクリプトを実行する
deno: npm パッケージのスクリプトは --allow-scripts を付けたときだけ実行する

スクリプトを止めても、import したときに動く悪性コードは防げない。npm/pnpm: minimum-release-age でサプライチェーン攻撃を避けつつ、緊急パッチだけ一時的に解除するやロックファイルのレビューと併用する。
設定名はバージョンで変わることがある（特に pnpm）。手元のバージョンのドキュメントを確認。