Consider Adopting NPM Trusted Publishing
还没有人认领这个 Issue。
评估
- 难度
- 5/5
- 预计耗时
- 一周以上
- 新手友好度
- 25/100
- Issue 类型
- 功能
- 描述清晰度
- 需要澄清
- 活跃度
- 停滞
- 技术栈
- javascript
调研方向
该 issue 没有指定文件或测试。先从链接的 npm trusted publishing 文档和 provenance 指南开始，然后检查 node-jws 当前如何发布 package。完成的标准是得出明确的采用决定，并且在接受的情况下建立带有 provenance 的 trusted publishing。
由索引模型根据 Issue 内容生成。
描述
Overview
Recent supply chain attacks on npm have highlighted the need for stronger package publishing security. The September 2025 Shai-Hulud worm compromised 500+ packages through stolen maintainer tokens, showing the risks of token-based publishing.
Trusted publishing helps by eliminating long-lived tokens that can be stolen or accidentally exposed; generating automatic provenance provides cryptographic proof of where/how packages are built; and is an industry standard adopted by
PyPI,RubyGems,crates.io,NuGet, etc...
NPMis planning to deprecate legacy tokens and make trusted publishing the preferred method.Reference
References:
Inspiration:
- 主要语言
- JavaScript
- 星标
- 721
- 派生
- 140
- PR 合并指标
- 30 天内没有已合并 PR
环境准备
- 没有 Dockerfile 或 Docker Compose 文件
- 没有 Pull Request 模板
- 阅读贡献指南
从这里开始
- 先读完整个 Issue，再读项目的贡献指南。
- 在 Issue 下留言说明你要接手 —— 这能避免两个人做同样的事。
- Fork 仓库，在一个分支上完成修改。
- 提交 Pull Request，并在描述里引用这个 Issue 编号。
auth0/node-jws 的其他 Issue
-
难度 2/5 1-3 小时 新手友好度 62/100
-
难度 2/5 1-3 小时 新手友好度 45/100
-
Remove unnecessary safe-buffer dependency (use Node.js built-in Buffer API)可能重新可做 关联的 PR 已关闭且未合并。 未关闭
难度 2/5 1-3 小时 新手友好度 50/100
-
难度 4/5 3-5 天 新手友好度 25/100
-
难度 5/5 一周以上 新手友好度 35/100
相似的 Issue
-
enhancement
难度 2/5 1-3 小时 新手友好度 78/100
glossyio/traffic-monitor#264 ·
维护者通常 1 天内回复
-
难度 1/5 1 小时以内 新手友好度 72/100
-
难度 2/5 1-3 小时 新手友好度 88/100
micromatch/picomatch#243 ·
维护者通常 1 天内回复
-
难度 2/5 1-3 小时 新手友好度 78/100
维护者通常 1 天内回复
-
getComputedStyle().display is "" for span, a, b, label and other inline elements instead of "inline"未关闭
难度 2/5 1-3 小时 新手友好度 76/100
capricorn86/happy-dom#2556 ·
维护者通常 1 天内回复