路边的阿不
·
告别npm令牌，拥抱更安全的GitHub Actions可信发布
💡
原文中文，约3500字，阅读约需9分钟。
📝
内容提要
npm 最近推出了可信发布功能，逐步淘汰长期有效的访问令牌，以增强安全性。开发者需在 npmjs.com 配置可信发布者，并更新 GitHub Actions 工作流，使用短效凭据进行身份验证，从而降低令牌泄露风险。
🎯
关键要点
- npm 最近推出了可信发布功能，逐步淘汰长期有效的访问令牌，以增强安全性。
- 开发者需在 npmjs.com 配置可信发布者，并更新 GitHub Actions 工作流。
- 传统的 npm 令牌存在长期有效、权限过大和泄露风险等安全问题。
- 可信发布通过 OpenID Connect (OIDC) 解决了这些安全问题，使用短效凭据进行身份验证。
- 迁移过程包括在 npmjs.com 配置可信发布者和更新 GitHub Actions 工作流文件。
- 更新工作流时需移除 NODE_AUTH_TOKEN，添加 permissions 块，并确保 npm 版本足够新。
- 对于私有依赖，仍需使用只读的细粒度访问令牌。
- 发布后建议禁止使用传统令牌进行发布，以提升安全性。
- 迁移到可信发布能显著提升安全性，并消除长期令牌泄露的风险。
❓
延伸问答
npm的可信发布功能有什么主要优势？
可信发布通过使用短效凭据和OpenID Connect，消除了长期令牌泄露的风险，提升了安全性。
如何在npmjs.com配置可信发布者？
登录npmjs.com，进入包的设置页面，找到可信发布者部分，选择GitHub Actions并填写相关信息。
更新GitHub Actions工作流时需要做哪些修改？
需要移除NODE_AUTH_TOKEN，添加permissions块，并确保npm版本足够新。
对于私有依赖，如何处理npm令牌？
对于私有依赖，仍需使用只读的细粒度访问令牌来安装依赖。
迁移到可信发布后，如何确保安全性？
建议在npm上禁止使用传统令牌进行发布，以最大化安全性。
可信发布如何增强供应链的安全性？
可信发布会自动生成包的来源证明，提供可验证的信息，增强供应链安全性。
➡️
