npm 推出 stage-only 粒度令牌:GitHub 开源生态包发布改为暂存加维护者 2FA 审批
2026年9月18日,GitHub 官方博客与 npm 文档宣布新增“Read and write (stage only)”粒度访问令牌:CI 等自动化流程可用 npm stage publish 把版本提交到暂存区,但令牌无法直接发布;须由包维护者通过双因素认证(2FA)审批后才会进入注册表,即使配置了 bypass-2FA 也无法直接 npm publish。该能力为可选启用,npm 计划 2027 年 1 月移除通过 bypass-2FA 令牌直接发布的能力;使用暂存发布需 npm CLI 11.15.0 及以上、Node.js 22.14.0 及以上。本文从开源生态视角解读。
查看详情 →