npm разрешил обновлять dist-tag через trusted publishing по отдельному праву
Изменение касается команд, которые автоматически публикуют npm-пакеты. Для владельца сайта это вопрос доступа в процессе выпуска, а не новая функция интерфейса. Представим автоматическую публикацию версии: метка latest указывает, какой выпуск получат пользователи. Право менять её должно принадлежать только нужному процессу.
Коротко
npm добавил возможность менять метки версий через временные учётные данные trusted publishing. Новое право включается отдельно и по умолчанию выключено. Мы рекомендуем выдавать его только процессам, которые действительно управляют выпуском.
30 сентября GitHub сообщил об изменении в npm, каталоге пакетов, которые разработчики используют в проектах на JavaScript. Автоматические процессы теперь могут управлять метками версий через trusted publishing без отдельного постоянного токена доступа.
Новость полезна командам, которые выпускают собственные JavaScript-пакеты через npm. Владельцу обычного сайта без такого процесса достаточно уточнить у разработчиков, относится ли изменение к его проекту.
Метки вроде latest, next и beta помогают указать, какую версию пакета считать основной или тестовой. Раньше для их изменения после выпуска мог требоваться постоянный токен, даже если сам выпуск уже использовал временные учётные данные OIDC.
Теперь в настройках trusted publishing есть отдельное право Allow npm dist-tag. Оно выключено по умолчанию и для новых, и для существующих конфигураций. Прежний способ с токеном продолжает работать.
Какой процесс меняет метки? Зачем ему это право? Кто может изменить сам процесс выпуска? Эти вопросы полезны при техническом аудите. Если проект не выпускает собственные npm-пакеты, включать новую настройку ради самой новости не требуется.
Начните с одного тестового пакета: проверьте выпуск и переключение метки через временный доступ. Убирать прежний ключ из рабочего процесса стоит после проверки зависимостей и возможности вернуться к прежней настройке.
Права автоматического выпуска
Изменение касается команд, которые автоматически публикуют npm-пакеты. Для владельца сайта это вопрос доступа в процессе выпуска, а не новая функция интерфейса.
Представим автоматическую публикацию версии: метка latest указывает, какой выпуск получат пользователи. Право менять её должно принадлежать только нужному процессу.
Мы в компании «Гуси-Лебеди» рекомендуем начать с карты прав процесса выпуска. Уточните у разработчиков, какой процесс обновляет метки и какие постоянные ключи ему ещё нужны. Новое разрешение включайте адресно, сохраняя контроль ошибочного переключения версии.
В техническом аудите процесса выпуска нужно учитывать права публикации пакетов и управления метками версий.
Источник: анонс разработчика. Дата события: 30.09.2026.
