npm 新增双重验证发布权限与包安装管控功能，抵御供应链攻击

鹏鹏同学
鹏鹏同学

黑猫安全

2026年5月25日 08:51
湖北

在小说阅读器读本章

去阅读

GitHub 为 npm 上线多项全新管控功能，加固软件供应链安全，包维护者可在安装包对外开放前手动审核放行。

该功能名为分阶段发布，目前已正式全面启用。规则要求维护者完成双重身份验证，才可将软件包推送至 npm 官网。

GitHub 介绍：软件包不再一键直接发布、即刻可供下载，打包文件会先存入待发布队列，必须经维护者手动审批后，才能对外安装使用。

隶属于微软的 GitHub 表示，此次更新能核验每一次发布均为真人操作，即便非交互式 CI/CD 流程、依托 OIDC 协议的可信发布操作也全部纳入验证范围。

启用分阶段发布需满足以下条件：

1. 具备对应软件包的发布权限
2. 软件包已托管在 npm 仓库，全新包暂不支持该功能
3. 账号已开启双重验证

开发者可在包根目录执行npm stage publish命令提交至待审核区，使用该指令需将 npm 命令行升级至 11.15.0 及以上版本。官方建议搭配 OIDC 可信发布模式，防护效果更佳。

npm 同步新增三项安装来源限制参数，与原有--allow-git参数配合使用：

• --allow-file

：管控本地文件与压缩包安装
* --allow-remote

：管控网络地址资源安装
* --allow-directory

：管控本地目录安装

开发者可凭借这些参数，对所有非官方仓库的安装来源统一设置白名单权限。

近期针对开源生态的供应链攻击频发，黑客组织 TeamPCP 通过持续入侵篡改海量热门开源包，此次安全升级以此为背景推出。