npm 的分阶段发布正式可用并加入安装来源控制 RSS

GitHub 让 npm 的 staged publishing 正式可用，并新增安装期的来源控制选项。改动针对的是发布与安装的安全模型，而不是某个具体漏洞：staged publishing 把发布前的验证前置，来源白名单则限制本地路径、git URL、link 等安装方式被滥用。发布 npm 包的团队可以把它加进发布清单，JavaScript 项目可以在 CI 里收紧安装来源策略。

发布于 2026-09-10T10:59:41.44191Z · GitHub · GitHub Changelog

GitHub npm 供应链

GitHub 让 npm 的 staged publishing 正式可用，并新增安装期的来源控制选项。改动针对的是发布与安装的安全模型，而不是某个具体漏洞：staged publishing 把发布前的验证前置，来源白名单则限制本地路径、git URL、link 等安装方式被滥用。发布 npm 包的团队可以把它加进发布清单，JavaScript 项目可以在 CI 里收紧安装来源策略。

GitHub 让 npm 的 staged publishing 正式可用，并新增安装期的来源控制选项。改动针对的是发布与安装的安全模型，而不是某个具体漏洞：staged publishing 把发布前的验证前置，来源白名单则限制本地路径、git URL、link 等安装方式被滥用。发布 npm 包的团队可以把它加进发布清单，JavaScript 项目可以在 CI 里收紧安装来源策略。

原始来源 ↗

来源记录

• center.info_item · 5ff7b5928eb0af08 · 2026-10-03T04:08:35.169032Z
• pgweb.info_item · 5ff7b5928eb0af08 · 2026-10-03T04:08:55.967155Z