路边的阿不
·
告别npm令牌，拥抱更安全的GitHub Actions可信发布
内容提要
npm 最近推出了可信发布功能，逐步淘汰长期有效的访问令牌，以增强安全性。开发者需在 npmjs.com 配置可信发布者，并更新 GitHub Actions 工作流，使用短效凭据进行身份验证，从而降低令牌泄露风险。
关键要点
-
npm 最近推出了可信发布功能，逐步淘汰长期有效的访问令牌，以增强安全性。
-
开发者需在 npmjs.com 配置可信发布者，并更新 GitHub Actions 工作流。
-
传统的 npm 令牌存在长期有效、权限过大和泄露风险等安全问题。
-
可信发布通过 OpenID Connect (OIDC) 解决了这些安全问题，使用短效凭据进行身份验证。
-
迁移过程包括在 npmjs.com 配置可信发布者和更新 GitHub Actions 工作流文件。
-
更新工作流时需移除 NODE_AUTH_TOKEN，添加 permissions 块，并确保 npm 版本足够新。
-
对于私有依赖，仍需使用只读的细粒度访问令牌。
-
发布后建议禁止使用传统令牌进行发布，以提升安全性。
-
迁移到可信发布能显著提升安全性，并消除长期令牌泄露的风险。
延伸解读
安全性提升的必要性
传统的 npm 令牌存在长期有效和权限过大的问题，容易导致账户被攻击者利用。迁移到可信发布后，使用短效凭据进行身份验证，显著降低了令牌泄露的风险，提升了整体安全性。开发者应重视这一变化，及时更新工作流以保护项目安全。
迁移过程的关键步骤
迁移到可信发布的过程相对简单，主要包括在 npmjs.com 配置可信发布者和更新 GitHub Actions 工作流。开发者需要注意移除 NODE_AUTH_TOKEN，并添加必要的权限块，以确保工作流能够正常运行。确保 npm 版本符合要求也是成功迁移的重要环节。
私有依赖的处理
对于需要安装私有依赖的项目，可信发布仅适用于发布操作。开发者仍需使用只读的细粒度访问令牌来安装私有依赖，以降低潜在风险。建议在工作流中明确区分发布和安装步骤，确保安全性和功能性兼顾。
延伸问答
npm的可信发布功能有什么主要优势？
可信发布通过使用短效凭据和OpenID Connect，消除了长期令牌泄露的风险，提升了安全性。
如何在npmjs.com配置可信发布者？
登录npmjs.com，进入包的设置页面，找到可信发布者部分，选择GitHub Actions并填写相关信息。
更新GitHub Actions工作流时需要做哪些修改？
需要移除NODE_AUTH_TOKEN，添加permissions块，并确保npm版本足够新。
对于私有依赖，如何处理npm令牌？
对于私有依赖，仍需使用只读的细粒度访问令牌来安装依赖。
迁移到可信发布后，如何确保安全性？
建议在npm上禁止使用传统令牌进行发布，以最大化安全性。
可信发布如何增强供应链的安全性？
可信发布会自动生成包的来源证明，提供可验证的信息，增强供应链安全性。
