aube：Node.js依存関係の鮮度を実行前に確かめるRust製ツール

インストール忘れを実行前に検出する発想

aubeはRustで書かれたNode.jsパッケージマネージャです。READMEのタグラインは「Never forget to install」で、その背後にある仕組みは中核的なアイデアです。aubeを介してスクリプトを実行すると、現在のpackage.jsonとロックファイルに対してnode_modulesが新しいかどうかを確認し、欠落または古い場合はインストールし、それ以外の場合はスクリプトを直接実行します。aubeという名前はフランス語で「夜明け」を意味し、/ob/と発音します（「ohb」のように）。このプロジェクトはentire.ioと37signalsがスポンサーであり、完全なスポンサーリストはjdx.devからリンクされています。ドキュメントはaube.jdx.devにあります。

aubeはNode.jsプロジェクトのコマンド実行前に、依存関係の状態を確認するRust製パッケージマネージャです。READMEの主張はインストール作業を意識させる実行経路にあり、既存のnpmエコシステム全体を置き換える保証ではありません。既存スクリプトの呼び出し方とlockfileの扱いを先に対応表にします。

npmロックファイルを読む範囲

READMEは、ドキュメントからリンクされたベンチマークに基づいて具体的なパフォーマンスの主張をしています。ウォームインストールはpnpmより約7倍、Bunより約3倍速く、繰り返しのテストコマンドはpnpmより最大48倍、Bunより最大4倍速いとされています。これらの数字はプロジェクト自身のベンチマークであり、この記事では独立に検証していません。aubeはまた、pnpm-lock.yaml v9（pnpm 9-11が生成）、package-lock.json v2/v3、npm-shrinkwrap.json、yarn.lock（クラシックとベリー）、bun.lockなど、いくつかの既存のロックファイル形式をその場で読み書きします。ロックファイルのない新規プロジェクトでは、aube-lock.yamlを作成します。READMEは、古いpnpm v5/v6ロックファイルは切り替える前にアップグレードする必要があり、Yarn PnPプロジェクトはまずnode_modulesリンカーに移行する必要があると述べています。

READMEは既存ロックファイルの読み書きや互換性を説明していますが、各npm機能が同じ挙動になるとは限りません。package.json、lockfile、node_modulesの状態を小さなテストプロジェクトで固定し、installとrunの前後で差分を確認します。READMEが明示しないパッケージマネージャ固有機能は、利用できると推測しません。

依存パッケージのスクリプトを隔離する

READMEは、aubeが「あらゆるNode.jsパッケージマネージャの中で最も厳しいセキュリティデフォルト」を持ち、ライフサイクルスクリプトの隔離を持つ唯一のものであると主張しています。すぐに使える状態では、異質な推移的依存関係がブロックされ、ライフサイクルスクリプトは承認を待ち、信頼のダウングレードは解決時に失敗し、新しいリリースは24時間のクーリングウィンドウに置かれます。paranoid: trueを設定すると、ビルド隔離が追加され、ソフトなゲートがハードな失敗に変わります。ライフサイクルスクリプトの隔離は、有効にすると、クリーンアップされた環境と一時的なHOMEで承認されたパッケージのビルドスクリプトを実行します。この隔離は現在デフォルトでfalseですが、次のメジャーバージョンでデフォルトtrueになる予定です。READMEは脅威モデルやセキュリティ監査を提供していないため、これらの主張は独立した保証ではなく、プロジェクトの説明として扱うべきです。

ライフサイクルスクリプトの隔離は、依存パッケージのinstall時処理を無条件に実行しないための境界です。ネイティブ拡張やビルド生成物は、この境界の影響を受ける可能性があります。READMEの設定と許可方法を使って、postinstallを持つ代表的な依存を一つだけ導入し、何が実行されなかったかをログで確認します。

Node.jsの取得とバージョン指定

推奨されるインストールパスはmiseを介したものです：mise use -g aube。プロジェクト内では、mise use aubeでaubeを固定できます。aubeはnpmにも@endevco/aubeとして公開されており、READMEはnpm install -g --ignore-scripts=false @endevco/aubeとnpx --ignore-scripts=false @endevco/aube --versionを示しています。このフラグは、npmパッケージがネイティブバイナリを取得するためにインストールスクリプトを使用するため必要です。Homebrewユーザーはjdxタップからbrew install jdx/tap/aubeでインストールできます。aube自体がプロジェクトのNode.jsバージョンを切り替えることができます：プロジェクトがpackage.json（devEngines.runtime）、.nvmrc、または.node-versionでNodeを固定している場合、aubeを通じて実行されるすべてのスクリプトとバイナリはそのバージョンを取得します。固定バージョンがない場合、aubeはmiseが利用可能ならインストールを委任し、そうでなければnodejs.orgからダウンロードします。シェルアクティベーションは、node、npm、npx、pnpm、pnpx、yarn、yarnpkgをaube経由でルーティングし、eval "$(aube activate zsh)"などのコマンドを使用します。

Node.jsのバージョン処理は、パッケージの解決とは別に再現性へ影響します。READMEにあるインストール手順とバージョン指定の記法を使い、現在のPATHにあるnodeが選ばれるのか、ツールが取得するのかを確認してください。CIではローカルと同じnode、OS、lockfileを用意し、出力差分を比較します。

aubrとaubxを含む日常コマンド

aubeの主な使い方は、実際に実行したいスクリプトを実行することです。aubrはaube runの省略形で、aubr testは依存関係が古いまたは欠落している場合に最初にインストールしてからテストスクリプトを実行します。aube testとaube exec vitestも同様に動作し、aubxはワンオフツール用のaube dlxの省略形です。通常、個別のaube installは必要ありません。これは、最初のローカルセットアップ、ロックファイルの更新、Dockerレイヤー、本番専用インストール、CIフローなどのタスク用です。CIでは、aube ciがnode_modulesを削除し、ロックファイルが最新であることを確認してからクリーンにインストールします。aube install --lockfile-onlyとaube install --prodもあります。ワークスペースはworkspace:プロトコルをサポートし、pnpm-workspace.yamlまたはaube-workspace.yamlの読み書きが可能です。READMEには一般的なコマンドのリストがあります：aube add、remove、update、list、why、outdated、audit、pack、publish、link、unlink、config get registry、store path、store pruneなど。

実行、インストール、aubr、aubxなどの短縮コマンドは、既存のnpmスクリプトへ導入する際の接点になります。短縮名だけを覚えるのではなく、どの引数がNodeへ渡り、どこで依存関係チェックが起こるかをREADMEの例で追います。シェルのPATHやWindowsでの差は、環境ごとに実行して確認する必要があります。

パッケージ配置と依存関係の境界

aubeはデフォルトで依存関係のライフサイクルスクリプトをスキップしますが、組み込みの信頼済み依存関係リストにあるパッケージは例外です。ビルドスクリプトが必要なパッケージはaube approve-buildsで承認でき、スキップされたパッケージはaube ignored-buildsで確認できます。承認されたパッケージについて、jailBuilds: trueはクリーンアップされた環境と一時的なHOMEでライフサイクルスクリプトを実行し、jailBuildPermissionsまたはjailBuildExclusionsのパッケージグロブは特定の環境変数、パス、ネットワーク、または完全なオプトアウトを許可します。パッケージレイアウトは分離されています：パッケージはnode_modules/.aube/を通じてリンクされ、パッケージファイルは$XDG_DATA_HOME/aube/store/（デフォルトは~/.local/share/aube/store/）に一度だけ保存されます。これにより、複数のプロジェクトがパッケージファイルを共有し、ディスク使用量を削減できます。aubeはpnpm 11のランタイムサーフェスにも一致します：aube runtime set node <version>とaube runtime list、そしてaube nodeはそのリゾルバを介してNodeを実行します。一部のpnpmコマンドは意図的にスコープ外です：setupとself-updateはmiseのようなツールに属し、whoami、token、owner、search、pkg、set-scriptなどのレジストリアカウントヘルパーはnpmコマンドを指す互換性スタブです。

依存関係スクリプト、パッケージレイアウト、コマンドサーフェスの説明は、aubeが管理する範囲を示します。READMEにないpnpmやyarn固有の挙動、モノレポの境界、レジストリ認証を補ってはいけません。置き換えの前に、実際のリポジトリでinstall、script、ネイティブビルドの三経路を比較します。

既存プロジェクトへ置き換える前の確認

このプロジェクトはMITライセンスの下でライセンスされており、著作権はjdx.dev（2026）です。このライセンスは、ソフトウェアのコピーを使用、コピー、変更、結合、公開、配布、サブライセンス、および販売する権利を許可し、ソフトウェアを「現状のまま」、いかなる種類の保証もなしに提供します。ライセンステキストには、セキュリティ保証、サポート、またはメンテナンスのコミットメントは記載されていません。リポジトリのメタデータには、1,803スター、55フォーク、2つの未解決イシューがリストされ、プロジェクトはアーカイブされていません。READMEはNamespaceがCIを提供していることを認め、jdxをビルダーとしてリストしています。プロジェクトのドキュメントとベンチマークはREADMEからリンクされています。

依存の安全な実行境界を重視するNode.js開発者には検討対象です。既存CIの再現性や全パッケージマネージャ機能を無検証で要求するチームには早いでしょう。READMEのインストールコマンドを隔離した作業ツリーで実行し、lockfile差分、scriptの実行記録、使用nodeのバージョンを保存してから判断します。

編集部の結論

依存の安全な実行境界を重視するNode.js開発者には検討対象です。既存CIの再現性や全パッケージマネージャ機能を無検証で要求するチームには早いでしょう。READMEのインストールコマンドを隔離した作業ツリーで実行し、lockfile差分、scriptの実行記録、使用nodeのバージョンを保存してから判断します。 READMEにない性能、互換性、運用保証は文書未記載として判断を分けます。

公式情報源

1. Official documentation
2. Official README
3. Project repository
4. Release notes