npm 发布流程重大升级：支持多配置信任发布与恶意软件扫描联动
更新背景
随着 npm 生态规模的扩大，单一发布配置已难以满足复杂项目的发布需求。过去，维护者往往被迫依赖工作流变通方案或维持长期有效的访问令牌，以区分稳定版、预发布版或暂存版的工作流。此次更新旨在响应维护者反馈，通过引入更灵活的信任发布机制，进一步优化 npm 发布体验。
核心突破与功能特性
1. 多信任发布配置支持
npm 现在允许单个包拥有多个独立的信任发布（OIDC）配置。这是本次更新的最大亮点，意味着维护者不再受限于单一配置。
- 独立性与扩展性：每个配置都是独立的，拥有自己的仓库、工作流和环境标准。维护者可以在包设置页面中轻松添加、列出或删除配置。
- 灵活的授权逻辑：发布或暂存操作只要传入的 OIDC 令牌匹配任一配置即可被授权。配置之间互不限制，且评估顺序不保证，因此不应构建依赖特定配置匹配顺序的逻辑。
- 默认暂存策略：所有信任发布配置默认支持暂存包，而直接发布需按配置单独开启。官方建议将配置主要用于暂存流程。
2. 恶意软件扫描与暂存审批联动
在 npm 引入发布时恶意软件扫描机制后，本次更新进一步强化了安全控制：
- 扫描期间锁定：在暂存发布队列中，一旦包正在接受恶意软件扫描，批准按钮将被禁用。
- 状态实时刷新：页面每分钟自动刷新状态，维护者可实时查看扫描进度。
- 安全准入：只有扫描完成后，包才能被批准并发布，有效防止了被污染的包直接进入注册库。
3. 增强的版本历史透明度
npmjs.com 上的版本标签页（Versions Tab）现已升级，为各自的维护者提供详细的版本历史记录：
- 全流程追踪：清晰展示每个版本的状态，包括是否已批准、被拒绝或仍处于暂存状态。
- 审计合规：帮助团队更好地进行版本审计和合规管理。
实际应用价值
- 对开发者：无需维护复杂的临时令牌或编写复杂的工作流变通代码，即可实现精细化的版本发布管理。多配置机制让同一包的不同分支或环境拥有独立的发布策略。
- 对安全团队：强制的恶意软件扫描与审批联动机制，构建了更坚固的安全防线，确保只有经过严格扫描的包才能进入公共视野。
- 对运维团队：版本历史的透明化大大降低了排查问题的难度，提升了团队协作效率。
"We're continuing to make trusted publishing smoother for npm publishers, guided by maintainers feedback." —— npm 官方团队
总结
此次 npm 更新通过引入多配置信任发布机制和强化安全扫描流程，标志着其发布系统向更灵活、更安全的方向迈进。对于依赖 npm 进行软件分发的团队而言，这将是一个提升工作流效率与安全性的重大利好。
