GitHub 调整 NPM 可信发布规则，新配置须在 48 小时内完成首次发布，否则失效。此举旨在修复仓库名回收漏洞：维护者重命名或删除仓库后，攻击者可注册同名仓库获取发布凭证，向原包推送恶意版本。约 1500 个包受影响。NPM 还限制 issue_comment 事件触发发布。