Пост канала
- фото
npm trusted publishing: dist-tags без отдельного токена в секретах После релиза npm-пакета кто у вас переключает latest — отдельный job с granular token в секретах? Trusted publishing давно закрывает выкладку из пайплайна без вечного секрета, а dist-tag часто всё ещё живёт на отдельной учётке. В настройках пакета появился opt-in Allow npm dist-tag на нужных конфигурациях OIDC: latest, next и beta можно двигать тем же короткоживущим токеном из job, что и publish. По умолчанию выключено — автоматом прав никто не получит, даже если publish уже завёл. Если staging-конфиг только для препрода, он может управлять тегами, не публикуя версию. Проверьте переключатель на конфигах, с которых CI реально гоняет релиз — и можно выкинуть лишний секрет из репозитория.
Открыть в MAX- Просмотры
- 9
- ER
- —
- Реакции
- —