CI/CD から npm パッケージを trusted publishing で出すメンテナ向け。リポジトリやプロジェクト名の所有権が変わったあとに、未検証の信頼関係が残るリスクを抑える。

  • 未検証の設定は作成から 48 時間で公開を認可できなくなる
  • 初回の公開成功で検証済みになり、期限の対象外になる。設定はリポジトリの不変な識別子に結び付く
  • リポジトリまたはプロジェクトの識別子を変えると新しい信頼関係になり、48 時間の検証窓が再開する。通常の編集では期限は延びない
  • 期限切れなら設定を作り直し、新たな 48 時間の窓が始まる
  • 期限切れの設定は trusted publisher 設定に残るが、パッケージあたりの上限には数えない。他の有効な設定は影響しない
  • GitHub Actions の issue_comment 由来の trusted publishing トークンは拒否。既存の pull_request_target 制限に続く。該当する場合は push、release、workflow_dispatch へ移す

#参考文献