npm 发布安全策略升级：48 小时验证期与 GitHub Actions 限制收紧

更新背景

随着开源生态中仓库所有权变更事件的频发，npm 团队决定强化可信发布（Trusted Publishing）机制的安全性。此前，一旦配置完成即可长期授权发布，这在一定程度上存在被恶意接管仓库后滥用发布权限的风险。为此，npm 引入了动态验证机制，确保发布权限的时效性与可控性。

核心突破与功能特性

1. 48 小时动态验证窗口

所有新创建的可信发布配置将在48 小时后自动失效，不再具备发布授权能力。这一设计旨在为仓库所有者提供缓冲期，以便在所有权变更或配置被篡改时及时止损。

• 首次发布即永久有效：若配置在 48 小时内成功完成一次发布，该配置将被标记为“已验证”，从而豁免过期限制。
• 变更身份需重新验证：若更换仓库或项目名称，必须建立新的信任关系，并重新经历 48 小时的验证窗口。
• 普通编辑不重置计时：仅对配置文件的常规修改不会重置 48 小时倒计时，防止恶意用户通过频繁编辑延长验证期。

2. GitHub Actions 发布事件限制收紧

为进一步提升自动化发布的安全性，npm 已明确拒绝在以下 GitHub Actions 事件中触发可信发布令牌：

• issue_comment
• events（通用事件）

目前仅允许在以下受控事件中执行发布操作：

• push
• release
• workflow_dispatch

开发者若受此影响，需重新审查其 CI/CD 配置，将发布逻辑迁移至上述允许的事件触发器中。

对开发者与用户的实际价值

• 降低安全风险：防止因仓库被恶意接管而导致的包被篡改或恶意发布。
• 提升配置可控性：开发者可在 48 小时内确认配置安全性，避免长期信任未经验证的仓库。
• 明确合规路径：为自动化团队提供清晰的发布事件白名单，避免构建流程意外中断。

官方建议

若您的可信发布配置已过期，可重新创建配置以启动新的 48 小时验证窗口。过期的配置虽仍可见于设置页面，但不计入包发布配额，且不影响其他有效配置的使用。

“我们希望通过这一更新，让 npm 的发布机制更加安全、透明，同时保护开发者免受仓库所有权变更带来的潜在威胁。” —— npm 团队

开发者应立即检查其自动化发布流程，确保符合新的事件限制要求，并测试配置在过期后的恢复机制。