В связи с участившимися атаками на цепочки поставок и отзывом долгоживущих npm-токенов, разработчикам необходимо перейти на механизм доверенной публикации (trusted publishing). При обновлении рабочего процесса выяснилось, что ряд важных деталей в официальной документации npm либо опущены, либо изложены недостаточно явно.
В статье собраны практические шаги для успешной настройки:
Регистрация доверенного издателя через интерфейс npm (и где его искать). Корректная конфигурация package.json и прав доступа в GitHub Actions. Типичные ошибки при публикации и способы их устранения (включая ошибку 403).Материал будет полезен всем, кто поддерживает публичные npm-пакеты и использует автоматическую публикацию через GitHub Actions.
Читать статью
@dev_notes_ru#NodeJS #NPM
