Doğrulanmamış npm güvenilir yayınlama yapılandırmaları artık 48 saat sonra sona eriyor
npm, doğrulanmamış güvenilir yayınlama yapılandırmalarının oluşturulduktan 48 saat sonra sona ermesini ve yayınlama yetkisi verememesini duyurdu. İlk başarılı yayından sonra yapılandırma doğrulanmış sayılıyor; depo veya proje kimliği değişirse yeni bir 48 saatlik doğrulama penceresi gerekiyor. npm ayrıca GitHub Actions issue_comment olaylarından gelen güvenilir yayınlama belirteçlerini reddediyor.
npm, doğrulanmamış güvenilir yayınlama yapılandırmalarının artık oluşturulduktan 48 saat sonra sona erdiğini duyurdu. Bu süre sınırı, sahipliği değişen bir depo veya proje adına güvenme riskini azaltmayı amaçlıyor. Süresi dolan yapılandırmalar artık yayınlama yetkisi veremiyor.
Doğrulanmış yapılandırmalar ve yeni güven ilişkileri
Bir yapılandırma, ilk başarılı yayınından sonra doğrulanmış hale geliyor ve süre sonundan muaf tutuluyor. Depo veya proje kimliğini değiştirmek ise 48 saatlik yeni bir doğrulama penceresiyle yeni bir güven ilişkisi gerektiriyor. Sıradan düzenlemeler son tarihi yeniden başlatmıyor.
Süresi dolan yapılandırmalarda ne oluyor?
Yapılandırmanızın süresi dolarsa, yeni bir 48 saatlik pencere başlatmak için yeniden oluşturmanız gerekiyor. Süresi dolmuş yapılandırmalar güvenilir yayıncı ayarlarında görünür kalıyor ancak paket başına sınırlara sayılmıyor. Paketteki diğer geçerli yapılandırmalar bu durumdan etkilenmiyor.
GitHub Actions olay kısıtlaması
npm ayrıca GitHub Actions issue_comment olaylarından gelen güvenilir yayınlama belirteçlerini reddediyor; bu kısıtlama mevcut pull_request_target yasağının yanında yer alıyor. Etkileniyorsanız, yayınlamayı push, release veya workflow_dispatch gibi izin verilen bir olaya taşıyabilirsiniz.
