Node.js のバージョン管理には、これまで nodebrew を使っていました。

特に大きな不満があったわけではありません。普段の開発でも普通に使えていましたし、「動いているなら一旦そのまま」と思っていたところもあります。

ただ最近、ありましたよね。axios のサプライチェーン問題。

axios では、2026年3月に axios@1.14.1 と axios@0.30.4 が侵害された件が axios 公式リポジトリの issue でも共有されていました。Trend Micro や Snyk もこの件をサプライチェーン攻撃として解説しています。

こういう話を見ると、依存パッケージを何も考えずに最新版へ上げ続けるのは、ちょっと怖いなと。

そこで Node のバージョン管理ツールをnodebrew から nvm に移行しました。

この記事では、Mac 環境で実際に移行したときの流れと、途中で少し引っかかったところをまとめます。

なぜ nvm に変えたのか

改めて、きっかけは npm のサプライチェーン対策です。

npm v11.10.0 では min-release-age という設定が追加されています。npm CLI の v11.10.0 リリースノートでも add min-release-age として記載されています。

これは、公開されてから一定日数が経っていないパッケージをインストール対象から外せる機能です。

例えば、公開直後のパッケージに問題があった場合でも、すぐに取り込まないようにできます。もちろんこれだけで全部防げるわけではありませんが、何もしないよりはかなり現実的な対策だと思いました。

そこで npm のバージョンを確認しているうちに、Node.js 側の管理も少し気になってきました。

nodebrewの更新状況

nodebrew は昔から使っていて慣れていましたが、今後も継続して使うなら、更新状況や利用者の多さも見ておきたいところです。

nodebrew を確認していると、なんと更新が4年前で止まっていることを知り、ちょっと変えるか！となりました。

候補を探していると最近は mise というのが勢いがあるみたいでしたが、今回は Node.js 公式のダウンロードページにも nvm を使った手順が載っていたので、まずは nvm に寄せることにしました。

やりたいこと

今回やりたかったことは、ざっくり次の3つです。

nodebrew をやめて nvm に移行する
npm v11.10.0 以上を使える状態にする
npm で入れていた Gemini CLI も整理する

まずは現状確認から

こういう移行作業では、いきなり消すより先に、今どこを見ているのか確認した方が安全です。

まずは Node.js と npm を確認しました。

node -v
npm -v
which node
which npm

移行前はこんな状態でした。

% node -v
v22.16.0

% npm -v
11.14.1

Node.js は nodebrew 管理です。
npm は以前に更新していたので、Node.js 本体とは少し違うタイミングで上がっています。

さらに、Gemini CLI も npm でインストールしていたので確認します。

which gemini

ここで見たいのは、各コマンドが nodebrew 配下を向いているかどうかです。
ちなみに、which はすべて nodebrew 配下でした。

この確認をしておくと、あとで PATH が残っているのか、Homebrew 側の Node.js を見ているのか、nvm 側に切り替わったのかが判断しやすくなります。

nodebrew の PATH を外す

まず ~/.zshrc から nodebrew の PATH 設定を削除しました。

vi ~/.zshrc

該当行を削除して保存します。

vi なら、該当行にカーソルを合わせて dd、そのあと :wq です。

削除したら、設定を反映します。

source ~/.zshrc

これで、今開いているシェルでは nodebrew の PATH を見に行かなくなります。

nodebrew をアンインストールする

次に Homebrew 側で nodebrew が入っているか確認します。

brew list

入っていたので、アンインストールしました。

brew uninstall nodebrew

そのあと、もう一度確認します。

which nodebrew
which node
which npm

ここで少し「あれ？」となります。

nodebrew は消えているのに、node と npm はまだ見つかります。

確認してみると、別の Homebrew パッケージの依存関係で node が入っていたようです。つまり、nodebrew 由来ではない Node.js を見ていました。

こういうときは、どのパッケージが node を使っているのか確認できます。

brew uses --installed node

nodebrew を消したのに node が残っていると少し不安になりますが、必ずしもおかしな状態ではありません。大事なのは、今見えている node がどこ由来なのかを確認することです。

nvm をインストールする

nodebrew を削除したので、次に nvm を入れます。

まず、すでに入っていないか確認しました。

command -v nvm
nvm --version

入っていなかったので、Node.js 公式の手順に沿ってインストールします。

curl -o- https://raw.githubusercontent.com/nvm-sh/nvm/v0.40.4/install.sh | bash

インストール後、今開いているシェルで nvm を使えるようにします。

\. "$HOME/.nvm/nvm.sh"

これをやらないと、インストール直後のターミナルでは nvm が反映されていないことがあります。

確認します。

nvm --version

今回はこうなりました。

0.40.4

ちゃんと入りました。

Node.js v24 を入れる

今回は Node.js v24 系を入れました。

nvm install 24

この指定だと、v24 系の利用可能なバージョンが入ります。nvm install 24 のような使い方は、nvm の README にも載っています。

今回の環境では、次のバージョンが入りました。

node -v
v24.15.0

npm -v
11.12.1

ここで少し気になったのが npm のバージョンです。

移行前は 11.14.1 だったので、nvm で Node.js v24 を入れたあと、npm だけ見ると少し下がりました。

ただ、今回見ていた min-release-age は npm v11.10.0 以上で使えるため、11.12.1 でも条件は満たしています。

とはいえ、基本的には npm も必要に応じて上げておいたほうが安心です。

npm install -g npm@latest

更新したら、また確認します。

node -v
npm -v
which node
which npm

ここで node と npm が ~/.nvm/ 配下を向いていれば、nvm 管理に切り替わっています。

Gemini CLI を入れ直す

Node.js の管理元を変えると、npm のグローバルインストール先も変わります。

そのため、以前 npm で入れていた Gemini CLI は見えなくなりました。

which gemini

せっかくなので、今回は Gemini CLI を npm ではなく Homebrew で入れることにしました。

理由は単純で、Node.js のバージョン管理と CLI ツールの管理を分けたかったからです。

npm グローバルにいろいろ入れていると、Node.js の切り替え時に「あれ、あのコマンドどこ行った？」となりやすいです。今回まさにそれでした。

まず Homebrew 側に入っていないことを確認します。

brew list

そのあと、Gemini CLI をインストールします。Gemini CLI は公式リポジトリでも Homebrew によるインストール方法が案内されています。

brew install gemini-cli

確認します。

brew list
which gemini

最後に起動します。

gemini

問題なく起動できたので、こちらも完了です。

やってみて感じたこと

今回の作業で一番大事だったのは、node や npm のバージョンそのものよりも、「今どの実体を見ているのか」を確認することでした。

nodebrew を消しても、Homebrew 由来の node が残っていることがあります。npm でグローバルインストールしていた CLI も、Node.js の管理元を変えると見えなくなることがあります。

なので、移行中は何度もこれを確認しました。

which node
which npm
which gemini

地味ですが、これが一番効きます。

Node.js のバージョン管理ツールを変える作業自体は、そこまで難しくありません。ただ、npm グローバルに入れているツールがある場合は、そこも含めて見直したほうがよさそうです。

参考にしたリンク

今回の作業で主に見たリンクです。

まとめ

今回、Mac 環境で nodebrew から nvm に移行しました。

きっかけは npm のサプライチェーン対策です。min-release-age を使える npm v11.10.0 以上を前提にしたかったことと、今後の Node.js 更新を考えて、管理ツールも見直しました。

作業としては、nodebrew の PATH を外してアンインストールし、nvm を入れて Node.js v24 系をインストールしました。

途中、Homebrew 由来の node が残っていたり、npm で入れていた Gemini CLI が見えなくなったりしましたが、which で実体を確認しながら進めれば落ち着いて対応できます。

Node.js のローカル環境は、一度作るとそのまま放置しがちです。

ただ、npm の新機能やサプライチェーンリスクをきっかけに見直してみると、意外と整理できるところが見つかります。今回はそのいいタイミングでした。