npm 10.10.0

eslint のOSSカルテ

最終確認 2026年9月15日 02:10

11 観測できた項目

1 確認すべき点

1 データが取得できない項目

eslint は 2026年9月15日時点で公開されている OSS です。採用前に確かめておきたい点が 1 件あります。採用の可否は、使う版の既知の脆弱性・ライセンス・必要な機能を合わせてご判断ください。

リポジトリとの紐付け

リポジトリ紐付け: 検証済み

リポジトリ内のマニフェストに、同じパッケージ名が記載されていることを確認しました。

deps.dev の relatedProjects: UNVERIFIED_METADATA
リポジトリ内のマニフェストに、同じパッケージ名が記載されています

github.com/eslint/eslint

確認すべき点（1件）

確認すべき Token-Permissions OpenSSF Scorecard の評価は 0 / 10 です。 ★点が低いことは「危険」ではなく「その項目が確認できていない」を意味することが多くあります。詳しくは解説をご覧ください。読み方

OpenSSF Scorecard の評価

開発プロセスを自動で調べた結果です。 点が低いことは「確認できていない」を意味することが多く、そのまま危険を表すものではありません。 各項目の読み方は解説にまとめています。

Token-Permissions 0 / 10

CII-Best-Practices 0 / 10

Fuzzing 0 / 10

Pinned-Dependencies 1 / 10

Branch-Protection 5 / 10

Code-Review 8 / 10

SAST 9 / 10

Maintained 10 / 10

Dangerous-Workflow 10 / 10

Binary-Artifacts 10 / 10

License 10 / 10

Security-Policy 10 / 10

Packaging 判定不能外部からは確かめられませんでした

Signed-Releases 判定不能外部からは確かめられませんでした

観測した項目

確認できたライセンス MIT として公開されています。実際の利用条件は、リポジトリ内の LICENSE 原文をご確認ください。当サイトは法的な判断をしません。読み方

確認できた既知の脆弱性版 10.10.0 に影響する未修正の Advisory は見つかりませんでした。これは「脆弱性が無い」という意味ではありません。まだ公開されていないものは、ここには出てきません。読み方

確認できたリポジトリとの紐付け github.com/eslint/eslint と結び付いています。リポジトリ内のマニフェストに、同じパッケージ名が記載されていることを確認しました。

確認できた直近の更新最後の push は 2026年9月14日です。読み方

確認できたリリース直近のリリースは 2026年9月4日です。読み方

確認できた Code-Review OpenSSF Scorecard の評価は 8 / 10 です。読み方

確認できた Dangerous-Workflow OpenSSF Scorecard の評価は 10 / 10 です。読み方

データが取得できない Signed-Releases 判定できませんでした（Scorecard が -1 を返しています）。公開スキャンには、リポジトリの設定を読む権限がありません。実際には設定されていても判定できないことがあります。読み方

確認できた Branch-Protection OpenSSF Scorecard の評価は 5 / 10 です。読み方

確認できた Security-Policy OpenSSF Scorecard の評価は 10 / 10 です。読み方

確認できた貢献者 30名の貢献が記録されています。読み方

OpenSSF Scorecard

6.5 / 10

これは OpenSSF が算出した値で、当サイトの評価ではありません。 点が低いことは「危険」ではなく「その項目が確認できていない」を意味することが多くあります。各項目の読み方は指標の読み方にまとめています。
生成日: 2026-09-07

Code-Review Found 22/27 approved changesets -- score normalized to 8 8 / 10

Maintained 30 commit(s) and 18 issue activity found in the last 90 days -- score normalized to 10 10 / 10

Dangerous-Workflow no dangerous workflow patterns detected 10 / 10

Packaging packaging workflow not detected 判定不能

Token-Permissions detected GitHub workflow tokens with excessive permissions 0 / 10

CII-Best-Practices no effort to earn an OpenSSF best practices badge detected 0 / 10

Binary-Artifacts no binaries found in the repo 10 / 10

Pinned-Dependencies dependency not pinned by hash detected -- score normalized to 1 1 / 10

License license file detected 10 / 10

Signed-Releases no releases found 判定不能

Branch-Protection branch protection is not maximal on development and all release branches 5 / 10

Security-Policy security policy file detected 10 / 10

Fuzzing project is not fuzzed 0 / 10

SAST SAST tool detected but not run on all commits 9 / 10

当サイトの観測

直近のリリースからの経過	10 日
リリース間隔の中央値	13 日（直近30件から算出）
記録されている貢献者	30 名（上位30名まで）
最多貢献者の割合	35 %

⭐ Stars	27,504

採用前に確認すること

☐ ライセンスを確認した
☐ 使うバージョンの脆弱性を確認した
☐ パッケージとリポジトリの紐付けを確認した
☐ 保守の状態を確認した
☐ 脆弱性の報告先を確認した
☐ 代替手段を確認した
☐ 更新が止まったときの対応を決めた

詳しくは採用前の7項目チェックリストをご覧ください。

出典

ソース	状態
OSV.dev	取得しました
GitHub	取得済み（保存していた内容）
Open Source Insights (deps.dev)	取得しました
OpenSSF Scorecard	取得しました
Open Source Insights — 版の詳細	取得しました
GitHub — リリース	取得済み（保存していた内容）
GitHub — 貢献者	取得しました

Open Source Insights (deps.dev) が生成したデータは CC-BY 4.0 のもとで利用しています。 OpenSSF Scorecard のスコアは OpenSSF が算出したものです。詳しくはデータの出典をご覧ください。

OSSカルテの見方

JavaScript / TypeScript の静的解析ツールです。構文を解析して、書き方の問題や間違いやすいパターンを指摘します。ルールはプラグインで足せるため、フレームワークごとの決まりごとやアクセシビリティの検査まで同じ仕組みに載せられます。

採用を検討するときに迷う点

検討するときに最初に確認したいのは、設定ファイルの形式です。

ESLint は設定の仕組みが新旧2種類あります。

旧: .eslintrc.*（extends で継承する）
新: eslint.config.js（flat config。配列で組み立てる）

プラグインがどちらに対応しているかで、組み合わせられるかが決まります。 記事や社内の設定例が旧形式のままだと、そのままでは動きません。新規に始めるなら flat config を、既存を移すならプラグインの対応状況を先に確認してください。

実務で引っかかりやすい点。

Prettier とルールが衝突する。 整形に関するルール（セミコロン、引用符、行幅）を ESLint 側にも持たせると、保存のたびに互いに書き換え合います。 整形は Prettier、検査は ESLint と役割を分け、競合するルールは無効化するのが定石です。
型を見るルールは設定が別に要る。 typescript-eslint の型情報つきルールは、 parserOptions.project の指定が必要です。指定を忘れると、そのルールだけ静かに効きません。 エラーにならないので気づけません。
警告を放置すると意味が消えます。 warn が数百件出る状態になると、誰も見なくなります。 CI で --max-warnings 0 にするか、ルールを減らすかを決めてください。

速度。大きなプロジェクトでは実行に時間がかかります。型情報つきルールを全ファイルに掛けると顕著です。変更されたファイルだけに掛ける、キャッシュを使うといった調整が要ります。

同じ目的のOSSとの関係

Biome は検査と整形を1つにまとめたツールです。Rust で書かれており高速で、 ESLint と Prettier の両方を置き換えることを狙っています。ただしルールの網羅範囲は ESLint のほうが広く、プラグインの資産も比較になりません。既存の細かい設定がある場合、そのまま移せるとは限りません。

oxlint も高速な検査ツールで、ESLint との併用も想定されています。

TypeScript の型検査は目的が違います。型では見つからない問題（未使用の変数、危険な比較、非同期の書き忘れ）を ESLint が拾う、という関係です。どちらか一方では足りません。

ここは当サイトによる説明です。上の観測結果とは分けて表示しています。

リリースと活動の履歴

GitHub が公開している記録から遡ったものです。 当サイトの計測開始より前も含みます。

記録のある最初のリリース: 2016年9月23日; 遡れた 301 件のうち最も古いもの

27 直近12か月のリリース

13日リリース間隔の中央値

プレリリースは数えていません。平均ではなく中央値を出しています（1度だけ間が空いた年があると平均は歪むため）。

年ごとのリリース本数

16 16 33 17 23 18 25 19 20 20 25 21 26 22 25 23 23 24 27 25 21 26

最も多い年で 33 本。 本数の多さは、そのまま良し悪しを表しません。 細かく出す方針のプロジェクトと、まとめて出す方針のプロジェクトがあります。

週ごとのコミット数（直近52週）

合計 675 コミット / 最も多い週で 30 コミット。 GitHub の集計によるもので、マージコミットの扱いなど数え方は GitHub に従います。

当サイトでの観測の記録

当サイトでの計測開始: 2026年8月23日; 24日ぶん / 21回の観測

観測した変化

2026年9月6日
- 新しいリリースを検出しました

記録が短いため、推移のグラフは表示していません。

OpenSSF Scorecard のスコアと脆弱性情報の状態は、 当サイトの計測開始より前には遡れません。 公開元が過去の値を残していないためです。リリース日や最終コミット日など、上の観測結果に出ている日付は GitHub などの記録によるもので、計測開始より前のものも含みます。

同じ目的のOSS

prettier 整形専用。役割を分ける typescript 型検査。目的が違う