告别npm令牌，拥抱更安全的GitHub Actions可信发布
💡
原文中文，约3500字，阅读约需9分钟。
📝
内容提要
npm 最近推出了可信发布功能，逐步淘汰长期有效的访问令牌，以增强安全性。开发者需在 npmjs.com 配置可信发布者，并更新 GitHub Actions 工作流，使用短效凭据进行身份验证，从而降低令牌泄露风险。
🎯
关键要点
- npm 最近推出了可信发布功能，逐步淘汰长期有效的访问令牌，以增强安全性。
- 开发者需在 npmjs.com 配置可信发布者，并更新 GitHub Actions 工作流。
- 传统的 npm 令牌存在长期有效、权限过大和泄露风险等安全问题。
- 可信发布通过 OpenID Connect (OIDC) 解决了这些安全问题，使用短效凭据进行身份验证。
- 迁移过程包括在 npmjs.com 配置可信发布者和更新 GitHub Actions 工作流文件。
- 更新工作流时需移除 NODE_AUTH_TOKEN，添加 permissions 块，并确保 npm 版本足够新。
- 对于私有依赖，仍需使用只读的细粒度访问令牌。
- 发布后建议禁止使用传统令牌进行发布，以提升安全性。
- 迁移到可信发布能显著提升安全性，并消除长期令牌泄露的风险。
➡️
