20/09/2026 · VietTechies · Biên tập
npm đã bổ sung quyền chỉ dàn dựng cho token truy cập chi tiết, theo thông báo của GitHub ngày 18/9/2026. Tùy chọn này cho phép quy trình tự động gửi phiên bản gói để xét duyệt mà không cấp cho token quyền phát hành trực tiếp lên kho đăng ký npm.
Người duy trì phê duyệt bản phát hành
Với token mới, quy trình sử dụng lệnh npm stage publish để gửi một phiên bản vào trạng thái chờ. Sau đó, người duy trì gói phải xem xét và phê duyệt bản phát hành bằng xác thực hai yếu tố (2FA). npm cho biết hệ thống sẽ từ chối yêu cầu npm publish trực tiếp bằng token chỉ dàn dựng, kể cả khi token đó được cấu hình bỏ qua 2FA để phục vụ tự động hóa.
Lộ trình chuyển đổi tự nguyện
Tùy chọn mới không thay đổi các token hiện có hoặc loại bỏ quyền phát hành trực tiếp của chúng. GitHub cho biết npm dự kiến chấm dứt việc phát hành trực tiếp bằng các token bỏ qua 2FA vào tháng 1/2027. Với những nhóm chưa thể chuyển sang trusted publishing, cơ chế phát hành đáng tin cậy không dùng token dài hạn, token chỉ dàn dựng giúp họ tiếp tục tự động hóa bằng token trong khi chuyển bước phê duyệt cuối cùng cho người duy trì.
Token vẫn có quyền ghi
Chỉ dàn dựng không đồng nghĩa với chỉ đọc. Các token này vẫn giữ những quyền ghi khác đối với gói, bao gồm di chuyển dist-tag và đánh dấu phiên bản là không còn được khuyến nghị sử dụng, vì vậy chúng vẫn phải được bảo vệ như thông tin xác thực có quyền ghi. Tính năng phát hành theo hình thức dàn dựng hỗ trợ các gói npm hiện có, nhưng yêu cầu quyền phát hành gói, tài khoản npm của người duy trì đã bật 2FA, npm CLI 11.15.0 trở lên và Node.js 22.14.0 trở lên.
Ảnh minh họa do AI tạo.