Hacktoberfest 2026: những issue maintainer đã đánh dấu cho tháng Mười, đang mở và phù hợp người mới. Xem issue Hacktoberfest

Publish every package through staged trusted publishing (owner approves each release)

Đang mở
  • Có gì không ổn?
#42 0 bình luận 0 reaction 0 người được giao Xem trên GitHub

Chưa có ai nhận issue này.

Đánh giá

Độ khó
3/5
Thời gian dự kiến
1-2 ngày
Mức phù hợp với người mới
35/100
Loại issue
Tính năng
Độ rõ ràng
Khá rõ ràng
Mức độ hoạt động
Sôi nổi
Công nghệ
github-actions, nodejs
Lĩnh vực
ci-cd, release

Hướng nghiên cứu

Start with one publish-*.yml workflow (for example the agent-pay-openfort one, which already uses staged publishing) and compare it with a workflow still calling npm publish. Apply the npm stage publish change to the remaining package workflows and add a short section to docs/REVIEWING.md. Step 2, unticking "Allow npm publish" on npmjs.com, needs the owner, so a contributor should only prepare the workflow and docs changes. Done means every listed workflow stages its release, and the docs describe the approval flow.

Do mô hình lập chỉ mục viết ra từ nội dung của issue.

Mô tả

@deepfirstsearch/agent-pay-openfort now publishes with npm trusted publishing and direct publishing off. The workflow runs npm stage publish (npm 12), and a version only goes live after the owner approves it on npmjs.com with 2FA. This was validated with 0.1.1 on 2026-10-09: the staged tarball was downloaded and diffed against a local build of the tag, and was identical.

The other packages (agent-pay, agent-pay-mcp, -ai-sdk, -langchain, -agentkit, -turnkey, -privy, -cdp, order-guard) still publish directly from their workflows. If a workflow or the repo were compromised, a release could go out unreviewed.

For each package:

  1. In its publish-*.yml, install npm 12 and replace npm publish with npm stage publish . --provenance --access public --ignore-scripts.
  2. On npmjs.com, untick "Allow npm publish" on its trusted publisher (owner only).
  3. Validate with the next release: download the staged tarball (npm stage download <id>), diff it against the tag build, then approve.

The publish flow also gets a short section in docs/REVIEWING.md.

Ngôn ngữ chính
TypeScript
Star
0
Fork
0
Merge trung bình
3 giờ 51 phút
Pull request đã merge (30 ngày)
3

Chuẩn bị môi trường

Bắt đầu từ đâu

  1. Đọc hết issue, rồi đọc hướng dẫn đóng góp của dự án.
  2. Bình luận trên issue rằng bạn sẽ nhận — tránh hai người làm cùng một việc.
  3. Fork repository và làm thay đổi trên một nhánh.
  4. Mở pull request có tham chiếu số hiệu của issue.

Issue khác của DeepFirstHQ/deepfirstsearch

Tất cả issue của DeepFirstHQ/deepfirstsearch

Issue tương tự

Thêm issue về TypeScript

Nhận issue mới trong hộp thư của bạn

Bản tóm tắt ngắn những issue GitHub phù hợp với người mới.