Hacktoberfest 2026: los issues que los mantenedores marcaron para octubre, abiertos y aptos para principiantes. Explorar issues de Hacktoberfest

Publish from CI with npm provenance (--provenance / OIDC trusted publisher)

Abierto
  • ¿Algo no está bien?
#2,028 1 comentario 0 reacciones 0 asignados Ver en GitHub

Los mantenedores suelen responder en 1 día

Nadie ha tomado este issue todavía.

Evaluación

Dificultad
4/5
Tiempo estimado
3-5 días
Aptitud para principiantes
48/100
Tipo de issue
Nueva funcionalidad
Claridad
Bastante claro
Estado de actividad
Activo
Stack tecnológico
github-actions, node.js, typescript
Área
ci-cd, devops, release

Línea de trabajo

Empieza leyendo publish-mcp-registry.yml y siguiendo los scripts existentes release:prepare y release:mark-dev. Confirma que el flujo de release tiene permisos OIDC id-token y usa npm publish --provenance; la finalización se confirma cuando existe un valor no nulo de npm view agent-device dist.attestations que resuelve al commit de release, después de que un maintainer haya configurado los ajustes de npm trusted-publisher.

Escrito por el modelo de indexación a partir del texto del issue.

Descripción

needs-info

From the MCP registry security assessment (its item 4). release:publish runs npm publish from a maintainer laptop, so the published tarball has only npm's registry signature — dist.attestations is null, and there is no verifiable link from the tarball back to the commit that produced it.

Goal

Publish from CI with npm publish --provenance under an OIDC trusted publisher, so consumers get a signed provenance statement pinning the tarball to its source commit and workflow run.

Work

  • Configure the npm package's trusted-publisher / OIDC settings on npmjs.com (maintainer action — cannot be scripted from the repo; blocks the rest).
  • Add a release workflow (or extend the existing tag-triggered one) that runs release:prepare then npm publish --provenance with id-token: write permission, instead of a local npm publish.
  • Keep release:mark-dev running post-publish (added in #2023) so main still moves off the released version.
  • The MCP-registry publish workflow already uses OIDC (publish-mcp-registry.yml) — mirror its trusted-publisher pattern.

Notes

  • Independent of #2023; the release-script changes there don't conflict.
  • Verify afterward: npm view agent-device dist.attestations is non-null and the provenance resolves to the release commit.
Lenguaje dominante
TypeScript
Estrellas
4.9k
Forks
328
Merge medio
12 h 18 min
PR fusionados (30 d)
561

Preparar el entorno

Primeros pasos

  1. Lee el issue completo y luego la guía de contribución del proyecto.
  2. Comenta en el issue que vas a ocuparte — evita que dos personas hagan lo mismo.
  3. Haz un fork del repositorio y trabaja en una rama.
  4. Abre un pull request que haga referencia al número del issue.

Más de callstack/agent-device

Todos los issues de callstack/agent-device

Issues similares

Más issues de TypeScript

Recibe los nuevos issues en tu correo

Un resumen breve de issues de GitHub para principiantes.