npm Trusted Publishing unterstützt jetzt Dist-Tag-Verwaltung via OIDC

GitHub hat die Funktionen für npm Trusted Publishing erweitert, sodass Maintainer die Dist-Tags von Paketen nun mithilfe von kurzlebigen OpenID Connect (OIDC)-Anmeldeinformationen verwalten können. Das aktualisierte System beseitigt die Notwendigkeit, langlebige Access-Tokens zu speichern, um Versions-Pointer wie latest, next oder beta zu ändern.

Lücke für Tokens in automatisierten Pipelines geschlossen

Vor diesem Update unterstützte Trusted Publishing zwar das Veröffentlichen und Staging von Paketen, deckte die Verwaltung von Dist-Tags jedoch nicht ab. Open-Source-Maintainer, die auf tokenfreie Workflows umgestiegen waren, mussten daher weiterhin herkömmliche granulare Access-Tokens in ihren CI/CD-Workflows aufbewahren – ausschließlich für das Tagging nach einem Release oder für die Abwicklung von Rollbacks.

Da kurzlebige OIDC-Tokens diese Vorgänge nun unterstützen, können Maintainer ihre automatisierten Release-Pipelines vollständig von der dauerhaften Speicherung von Secrets abbringen. Das verringert die Angriffsfläche durch durchgesickerte oder kompromittierte Zugangsdaten erheblich.

Granulare Steuerung und Abwärtskompatibilität

Das neue Zugriffsrecht fungiert als explizite Opt-in-Einstellung mit der Bezeichnung „Allow npm dist-tag“ in den Trusted-Publishing-Einstellungen eines Pakets. GitHub deaktiviert diese Berechtigung standardmäßig sowohl für bestehende als auch für neu hinzugefügte Konfigurationen. So wird sichergestellt, dass kein Workflow automatisch erweiterte Rechte erhält.

Die Dist-Tag-Berechtigung funktioniert unabhängig von den Einstellungen für das direkte Veröffentlichen von Paketen. Dadurch können Entwickler Tagging-Rechte bei Bedarf auch reinen Staging-Setups zuweisen. Ein eingehendes OIDC-Token autorisiert eine Dist-Tag-Änderung, wenn es mit einer aktiven Konfiguration übereinstimmt, bei der die Einstellung aktiviert ist. Bestehende Workflows, die auf konventionellen Access-Tokens basieren, funktionieren unterdessen ohne Unterbrechung weiter.

KI-generierte redaktionelle Illustration; kein Dokumentarfoto.

Quelle: Opt-in dist-tag permissions for npm trusted publishing