GitHub npm, stage-only 토큰 추가…자동화 직접 publish 권한 분리

GitHub가 npm 자동화용 granular access token에 Read and write (stage only) 권한을 추가했습니다. 이 토큰은 패키지 버전을 검토 단계까지 올릴 수 있지만 npm 레지스트리에 직접 게시할 권한은 주지 않아, CI 자동화와 실제 릴리스 승인을 분리할 수 있습니다.

주요 변경

• 워크플로는 npm stage publish로 새 버전을 제출하고, 패키지 관리자가 2단계 인증(2FA)으로 검토·승인합니다.
• stage-only 토큰으로 npm publish를 직접 실행하면 npm이 거부합니다. 자동화를 위해 2FA 우회를 설정했더라도 동일합니다.
• 기존 토큰은 바뀌지 않으며 이번 기능은 opt-in입니다. stage-only 토큰은 dist-tag 이동과 버전 deprecate 등 다른 패키지 쓰기 권한은 유지합니다.
• 사용하려면 기존 npm 패키지에 대한 publish 권한, 계정의 2FA, npm CLI 11.15.0 이상, Node.js 22.14.0 이상이 필요합니다.

개발자 영향

CI에 직접 배포 권한을 주지 않고 패키지를 검토 단계까지만 자동화할 수 있어 npm 공급망 보안과 승인 절차를 강화할 수 있습니다. GitHub는 기존 bypass-2FA 토큰을 통한 직접 게시 제거를 2027년 1월 목표로 안내하고 있어, trusted publishing으로 바로 전환하기 어려운 팀에는 stage-only 토큰이 중간 마이그레이션 경로가 됩니다.

발표: 2026-09-18 · 세부 시각 미공개 · GitHub

원문 출처 보기 →