npm 新增“仅暂存”细粒度令牌：工作流通过 npm stage publish 提交候选版本，维护者经 2FA 批准后发布，将上传与公开分离。令牌泄露无法直接发布新版本，但仍可修改 dist-tag、弃用版本，需按写权限管理。npm 计划 2027 年 1 月取消绕过 2FA 直接发布，团队应逐步迁移，先在低风险包演练，并保留审计与回滚。