草梅友仁的博客
·
Npm 安全更新与千星沙箱 | 2025 年第 43 周草梅周报
内容提要
本文介绍了Npm推出的受信任发布功能，通过OIDC身份验证直接发布包，解决了长期令牌的安全隐患。同时，讨论了《原神》千星沙箱的低代码平台特性，呼吁降低使用难度以吸引更多玩家参与UGC开发。
关键要点
-
Npm推出受信任发布功能，通过OIDC身份验证直接发布包，解决长期令牌的安全隐患。
-
受信任发布允许从CI/CD工作流程中发布npm包，无需长寿命的npm令牌。
-
目前Npm仅支持在GitHub Actions和GitLab CI/CD Pipelines上使用，未来计划支持自托管运行器。
-
《原神》推出千星沙箱，作为UGC玩法的核心编辑器，但上手难度较高。
-
千星沙箱的设计未考虑普通玩家的使用体验，导致许多玩家在学习过程中放弃。
-
希望千星沙箱的开发团队能降低使用门槛，吸引更多玩家参与UGC开发。
延伸解读
Npm 安全更新的意义
Npm 的受信任发布功能通过 OIDC 身份验证，显著提升了包发布的安全性。这一更新不仅解决了长期令牌的安全隐患，还简化了 CI/CD 流程，减少了开发者的管理负担。随着这一功能的推广，开发者可以更专注于代码质量，而不是令牌的管理。
千星沙箱的用户体验挑战
尽管千星沙箱作为低代码平台具有强大的功能，但其上手难度较高，可能会导致普通玩家的流失。开发团队需要关注用户体验，简化操作流程，以吸引更多玩家参与 UGC 开发。否则，复杂的学习曲线可能会限制其潜力。
未来的支持计划
目前，Npm 的受信任发布功能仅支持 GitHub Actions 和 GitLab CI/CD Pipelines，未来计划扩展到自托管运行器。这一扩展将为更多开发者提供便利，尤其是那些使用自托管环境的团队，值得关注其后续进展。
延伸问答
Npm的受信任发布功能是什么？
Npm的受信任发布功能允许用户通过OIDC身份验证直接从CI/CD工作流程中发布npm包，避免使用长期有效的npm令牌。
受信任发布功能如何提高Npm的安全性？
受信任发布功能通过消除长期有效的npm令牌，降低了令牌泄露的风险，从而提高了Npm的安全性。
千星沙箱的主要特点是什么？
千星沙箱是《原神》的UGC编辑器，具有低代码平台的特性，但上手难度较高。
为什么玩家在使用千星沙箱时会感到困难？
玩家在使用千星沙箱时感到困难，主要是因为其设计未考虑普通玩家的使用体验，导致上手难度较高。
Npm的受信任发布功能目前支持哪些平台？
目前Npm的受信任发布功能仅支持在GitHub Actions和GitLab CI/CD Pipelines上使用。
千星沙箱的开发团队应该如何改善用户体验？
千星沙箱的开发团队应降低使用门槛，提供更易于理解的编辑方式，以吸引更多玩家参与UGC开发。
