npm 允许一个包配置多条 OIDC 可信发布规则 RSS

npm 现在允许一个包设置多条相互独立的可信发布配置，每条各自限定仓库、workflow 和 environment，入站 OIDC token 命中任意一条即获授权，多环境流水线不必再为第二条路径保留长寿命 token。公告还规定配置默认只能 stage，直接发布要显式开启，staged 包在恶意软件扫描完成前无法批准。语义是任一匹配即放行，规则写得宽松就等于多开一道直发入口。

发布于 2026-09-10T06:53:46.40984Z · GitHub · GitHub Changelog

OIDC npm 供应链

npm 现在允许一个包设置多条相互独立的可信发布配置，每条各自限定仓库、workflow 和 environment，入站 OIDC token 命中任意一条即获授权，多环境流水线不必再为第二条路径保留长寿命 token。公告还规定配置默认只能 stage，直接发布要显式开启，staged 包在恶意软件扫描完成前无法批准。语义是任一匹配即放行，规则写得宽松就等于多开一道直发入口。

npm 现在允许一个包设置多条相互独立的可信发布配置，每条各自限定仓库、workflow 和 environment，入站 OIDC token 命中任意一条即获授权，多环境流水线不必再为第二条路径保留长寿命 token。公告还规定配置默认只能 stage，直接发布要显式开启，staged 包在恶意软件扫描完成前无法批准。语义是任一匹配即放行，规则写得宽松就等于多开一道直发入口。

原始来源 ↗

来源记录

• center.info_item · 5a3fb409433000a9 · 2026-10-03T04:08:35.169032Z
• pgweb.info_item · 5a3fb409433000a9 · 2026-10-03T04:08:55.967155Z