From 72006fcd7db83d2ddb0a973558c89d8b6e5080d1 Mon Sep 17 00:00:00 2001 From: AutoPasha Date: Sat, 12 Sep 2026 12:26:06 +0000 Subject: [PATCH] =?UTF-8?q?=D0=9F=D1=83=D0=B1=D0=BB=D0=B8=D0=BA=D0=B0?= =?UTF-8?q?=D1=86=D0=B8=D1=8F=20=D0=B1=D0=B5=D0=B7=20=D1=82=D0=BE=D0=BA?= =?UTF-8?q?=D0=B5=D0=BD=D0=B0:=20=D1=83=D0=B1=D1=80=D0=B0=D0=BD=20=D0=B7?= =?UTF-8?q?=D0=B0=D0=BF=D0=B0=D1=81=D0=BD=D0=BE=D0=B9=20NODE=5FAUTH=5FTOKE?= =?UTF-8?q?N?= MIME-Version: 1.0 Content-Type: text/plain; charset=UTF-8 Content-Transfer-Encoding: 8bit У пакета прописан доверенный издатель, npm берёт короткий ключ у GitHub по OIDC. Долгоживущий секрет в релизном прогоне больше не нужен. Claude-Session: https://claude.ai/code/session_01LBL4DAAw5JUE6RMmufNjkQ --- .github/workflows/publish.yml | 10 +++++----- 1 file changed, 5 insertions(+), 5 deletions(-) diff --git a/.github/workflows/publish.yml b/.github/workflows/publish.yml index 94df670..2dd80f8 100644 --- a/.github/workflows/publish.yml +++ b/.github/workflows/publish.yml @@ -42,10 +42,10 @@ jobs: # из какого коммита он собран. Для пакета, который люди ставят глобально # и дают агенту, это единственный способ доказать происхождение. # - # NODE_AUTH_TOKEN тут запасной путь. Когда у пакета будет прописан - # доверенный издатель, npm сам возьмёт ключ у GitHub и токен не тронет; - # прямую публикацию токеном npm отключает в январе 2027. + # Токена тут больше нет: у пакета прописан доверенный издатель, и npm + # берёт короткий ключ у GitHub по OIDC (проверено выпуском 0.1.1). + # Запасной путь через NODE_AUTH_TOKEN убран сознательно: долгоживущий + # секрет в релизном прогоне это ровно тот риск, ради которого затевался + # переезд, а прямую публикацию токеном npm отключает в январе 2027. - if: steps.registry.outputs.skip == 'false' run: npm publish --provenance --access public - env: - NODE_AUTH_TOKEN: ${{ secrets.NPM_TOKEN }}