npm 신뢰 게시 설정과 스테이징 승인 개선
npm 패키지에 신뢰 게시 설정을 여러 개 둘 수 있고, 스테이징 승인과 버전 이력 표시가 개선되었습니다.
교안에 영향
기존에는 패키지당 trusted publishing 설정이 하나라는 안내가 틀려졌습니다.
요약
- 패키지별 trusted publishing(OIDC) 설정을 여러 개 등록할 수 있게 되었습니다. - staged packages는 malware scanning이 끝나기 전에는 승인할 수 없게 바뀌었습니다. - npmjs.com의 package versions 탭에서 staged history를 확인할 수 있게 되었습니다. - 각 설정은 독립적으로 동작하며, settings page에서 add, list, remove 할 수 있습니다.
바뀐 것
새 기능
- 패키지마다 trusted publishing(OIDC) configuration을 하나 이상 둘 수 있게 되었습니다.
- 각 configuration은 repository, workflow, environment 기준을 따로 가지며 add, list, remove 할 수 있습니다.
개선
- publish 또는 stage는 들어온 OIDC token이 어느 configuration과든 일치하면 허용되도록 바뀌었습니다.
- 각 trusted publishing configuration은 기본적으로 package를 stage할 수 있고, direct publishing은 configuration별로 opt-in입니다.
- staged publishing queue에서 malware scanning이 끝나기 전에는 approval button이 비활성화되고, 스캔 완료 후에 승인할 수 있습니다.
- npmjs.com의 versions tab에서 각 version의 approved, rejected, staged 상태를 포함한 staged history를 볼 수 있게 되었습니다.