npm Trusted Publishing passa a suportar gerenciamento de dist-tags via OIDC

O GitHub expandiu os recursos do npm trusted publishing para permitir que mantenedores gerenciem dist-tags de pacotes utilizando credenciais de curta duração do OpenID Connect (OIDC). O sistema atualizado elimina a necessidade de armazenar tokens de acesso de longa duração para modificar ponteiros de versão, como latest, next ou beta.

Fechando a lacuna de tokens em pipelines automatizados

Antes dessa atualização, o trusted publishing oferecia suporte para operações de publicação e staging de pacotes, mas não cobria o gerenciamento de dist-tags. Mantenedores de projetos open-source que adotavam fluxos sem tokens eram forçados a manter tokens de acesso granulares tradicionais em seus fluxos de integração contínua exclusivamente para aplicar tags pós-lançamento ou lidar com rollbacks.

Com os tokens OIDC de curta duração passando a dar suporte a essas operações, os mantenedores podem migrar completamente suas pipelines automatizadas de publicação para fora do armazenamento de segredos persistentes, reduzindo a superfície de ataque associada a tokens de acesso vazados ou comprometidos.

Controles granulares e compatibilidade com versões anteriores

O novo direito de acesso funciona como uma configuração opcional explícita rotulada como 'Allow npm dist-tag' dentro da configuração de trusted publishing de um pacote. O GitHub define essa permissão como desativada por padrão, tanto para configurações pré-existentes quanto para as novas, garantindo que nenhum fluxo de trabalho obtenha acesso elevado automaticamente.

A permissão de dist-tag opera de forma independente das configurações de publicação direta de pacotes, permitindo que desenvolvedores atribuam permissões de etiquetagem a ambientes exclusivos de staging, se necessário. Um token OIDC recebido autoriza a modificação de uma dist-tag se corresponder a qualquer configuração ativa que esteja com a opção habilitada. Enquanto isso, os fluxos de trabalho legados que dependem de tokens de acesso convencionais continuam funcionando sem interrupções.

Ilustração editorial gerada por IA; não é uma fotografia documental.

Fonte: Opt-in dist-tag permissions for npm trusted publishing