npm 禁止可绕过 2FA 的令牌执行敏感管理操作 RSS

可绕过双因素的长期令牌一旦泄露，过去能用来接管组织、增加维护者或改掉发布配置。npm 的细粒度访问令牌即使配置了绕过 2FA，现在也不能再执行令牌、组织、包访问权限、维护者和可信发布配置这类敏感操作。GitHub 说这次只影响 npm 的细粒度令牌，下一步是在 2027 年 1 月收紧直接发布，并引导自动发布转向 OIDC 可信发布或分阶段发布。要做的是检索所有发布令牌与机器人，并测试轮换、紧急吊销与回滚。

发布于 2026-09-10T10:59:47.270425Z · GitHub · GitHub Changelog

2FA OIDC npm

可绕过双因素的长期令牌一旦泄露，过去能用来接管组织、增加维护者或改掉发布配置。npm 的细粒度访问令牌即使配置了绕过 2FA，现在也不能再执行令牌、组织、包访问权限、维护者和可信发布配置这类敏感操作。GitHub 说这次只影响 npm 的细粒度令牌，下一步是在 2027 年 1 月收紧直接发布，并引导自动发布转向 OIDC 可信发布或分阶段发布。要做的是检索所有发布令牌与机器人，并测试轮换、紧急吊销与回滚。

可绕过双因素的长期令牌一旦泄露，过去能用来接管组织、增加维护者或改掉发布配置。npm 的细粒度访问令牌即使配置了绕过 2FA，现在也不能再执行令牌、组织、包访问权限、维护者和可信发布配置这类敏感操作。GitHub 说这次只影响 npm 的细粒度令牌，下一步是在 2027 年 1 月收紧直接发布，并引导自动发布转向 OIDC 可信发布或分阶段发布。要做的是检索所有发布令牌与机器人，并测试轮换、紧急吊销与回滚。

原始来源 ↗

来源记录

• center.info_item · a793b65352a883cd · 2026-10-03T04:08:35.169032Z
• pgweb.info_item · a793b65352a883cd · 2026-10-03T04:08:55.967155Z