01/10/2026 · VietTechies · Biên tập
GitHub đã mở rộng tính năng trusted publishing của npm, cho phép các nhà duy trì dự án quản lý các dist-tag của gói bằng chứng thư OpenID Connect (OIDC) có thời hạn ngắn. Hệ thống cập nhật này loại bỏ yêu cầu phải lưu trữ các access token dài hạn để thay đổi những con trỏ phiên bản như latest, next hoặc beta.
Khắc phục khoảng trống token trong quy trình tự động
Trước bản cập nhật này, trusted publishing đã hỗ trợ các thao tác xuất bản và tạo bản thử nghiệm (staging) cho gói, nhưng chưa áp dụng cho việc quản lý dist-tag. Do đó, những người duy trì mã nguồn mở dù đã chuyển sang quy trình không dùng token vẫn phải giữ lại các granular access token truyền thống trong quy trình tích hợp liên tục (CI) chỉ để phục vụ việc gắn tag sau khi phát hành hoặc xử lý khôi phục phiên bản.
Nhờ các token OIDC thời hạn ngắn hiện đã hỗ trợ những thao tác này, các nhà phát triển có thể chuyển đổi hoàn toàn các quy trình phát hành tự động thoát khỏi việc lưu trữ khóa bảo mật cố định, từ đó giảm thiểu bề mặt tấn công liên quan đến rủi ro lộ hoặc thỏa hiệp access token.
Quyền kiểm soát chi tiết và tính tương thích ngược
Quyền truy cập mới hoạt động dưới dạng một tùy chọn kích hoạt chủ động (opt-in) có tên 'Allow npm dist-tag' trong cấu hình trusted publishing của gói. GitHub đặt mặc định quyền này ở trạng thái tắt cho cả các cấu hình cũ lẫn mới thêm vào, đảm bảo không có quy trình nào tự động nhận được quyền hạn cao hơn.
Quyền dist-tag hoạt động độc lập với các thiết lập xuất bản gói trực tiếp, cho phép các nhà phát triển gán quyền quản lý tag cho những cấu hình chỉ dành cho staging nếu cần thiết. Một token OIDC gửi đến sẽ được xác thực cho thao tác sửa đổi dist-tag nếu nó khớp với bất kỳ cấu hình đang hoạt động nào có bật tùy chọn này. Trong khi đó, các quy trình cũ phụ thuộc vào access token truyền thống vẫn tiếp tục hoạt động mà không bị gián đoạn.
Ảnh minh họa do AI tạo, không phải ảnh tư liệu.
Nguồn: Opt-in dist-tag permissions for npm trusted publishing