Publish from CI with npm provenance (--provenance / OIDC trusted publisher)
I maintainer di solito rispondono entro 1 giorno
Nessuno ha ancora preso questa issue.
Valutazione
- Difficoltà
- 4/5
- Tempo stimato
- 3-5 giorni
- Idoneità per principianti
- 48/100
- Tipo di issue
- Funzionalità
- Chiarezza
- Abbastanza chiara
- Stato di attività
- Attiva
- Stack tecnologico
- github-actions, node.js, typescript
Direzione di ricerca
Inizia leggendo publish-mcp-registry.yml e tracciando gli script esistenti release:prepare e release:mark-dev. Verifica che il workflow di release disponga dei permessi OIDC id-token e utilizzi npm publish --provenance; il completamento è dato da un valore non nullo di npm view agent-device dist.attestations che risolve al commit di release, dopo che un maintainer ha configurato le impostazioni npm trusted-publisher.
Scritto dal modello di indicizzazione a partire dal testo della issue.
Descrizione
From the MCP registry security assessment (its item 4). release:publish runs npm publish from a maintainer laptop, so the published tarball has only npm's registry signature — dist.attestations is null, and there is no verifiable link from the tarball back to the commit that produced it.
Goal
Publish from CI with npm publish --provenance under an OIDC trusted publisher, so consumers get a signed provenance statement pinning the tarball to its source commit and workflow run.
Work
- Configure the npm package's trusted-publisher / OIDC settings on npmjs.com (maintainer action — cannot be scripted from the repo; blocks the rest).
- Add a release workflow (or extend the existing tag-triggered one) that runs
release:preparethennpm publish --provenancewithid-token: writepermission, instead of a localnpm publish. - Keep
release:mark-devrunning post-publish (added in #2023) somainstill moves off the released version. - The MCP-registry publish workflow already uses OIDC (
publish-mcp-registry.yml) — mirror its trusted-publisher pattern.
Notes
- Independent of #2023; the release-script changes there don't conflict.
- Verify afterward:
npm view agent-device dist.attestationsis non-null and the provenance resolves to the release commit.
- Lingua principale
- TypeScript
- Stelle
- 4.9k
- Fork
- 328
- Merge medio
- 11h 49m
- PR unite (30g)
- 585
Preparare l'ambiente
- Nessun Dockerfile né file Docker Compose
- Nessun modello di pull request
- Leggi la guida per i contributori
Come iniziare
- Leggi tutta la issue e poi la guida ai contributi del progetto.
- Commenta sulla issue per dire che te ne occupi tu — evita che due persone facciano lo stesso lavoro.
- Fai un fork del repository e lavora su un branch.
- Apri una pull request che faccia riferimento al numero della issue.
Altre issue di callstack/agent-device
-
Difficoltà 2/5 1-3 ore Idoneità per principianti 74/100
callstack/agent-device#3407 ·
I maintainer di solito rispondono entro 1 giorno
-
Difficoltà 1/5 Meno di un'ora Idoneità per principianti 88/100
callstack/agent-device#3353 ·
I maintainer di solito rispondono entro 1 giorno
-
Difficoltà 2/5 1-3 ore Idoneità per principianti 68/100
callstack/agent-device#1869 ·
I maintainer di solito rispondono entro 1 giorno
-
Client stop paths treat EPERM as a confirmed exit and drop state for a live companionForse già presa @thymikee l’ha presa oggi. Aperta
Difficoltà 4/5 3-5 giorni Idoneità per principianti 52/100
callstack/agent-device#3540 ·
I maintainer di solito rispondono entro 1 giorno
-
enhancement needs-triage
Difficoltà 5/5 Più di una settimana Idoneità per principianti 35/100
callstack/agent-device#3531 ·
I maintainer di solito rispondono entro 1 giorno
Tutte le issue di callstack/agent-device
Issue simili
-
Difficoltà 2/5 1-3 ore Idoneità per principianti 78/100
db-ux-design-system/core-web#8461 ·
I maintainer di solito rispondono entro 1 giorno
-
Difficoltà 2/5 1-3 ore Idoneità per principianti 78/100
I maintainer di solito rispondono entro 1 giorno
-
Cannot run an integration on windows when power shell is selected as the default profile terminalApertaPriority/Blocker Type/Bug
Difficoltà 2/5 1-3 ore Idoneità per principianti 76/100
wso2/product-integrator#2767 ·
I maintainer di solito rispondono entro 1 giorno
-
Difficoltà 1/5 Meno di un'ora Idoneità per principianti 85/100
-
severity:low
Difficoltà 1/5 1-3 ore Idoneità per principianti 84/100
I maintainer di solito rispondono entro 1 giorno