حماية نشر حزم npm: الحساب ومسار الإصدار معًا
فعّل التحقق المدعوم وافحص صلاحيات النشر والمشرفين، واضبط النشر الموثوق أو رمزًا محدودًا بدل اعتماد واسع مكشوف.
الخلاصة
حماية npm تشمل حساب المشرف والطريقة التي تنشر الإصدارات. لا يعوّض تحقق الحساب عن رمز واسع قابل لإعادة الاستخدام تسرّب من سير العمل.
مراجعة المسارين تقلل احتمال تحول اختراق حساب أو أتمتة إلى إصدار ضار.
احمِ المشرف البشري
استخدم الإعداد الرسمي من الويب بما فيه مفتاح الأمان المتاح، واحتفظ باسترداد مجرّب. أزل المشرفين الذين انتهت حاجتهم واحمِ بريد الحساب؛ الاسترداد جزء من حدود النشر.
قيّد الناشر الآلي
إذا دعم npm مزود CI، طابق هوية الناشر واتبع متطلبات OIDC. قيّد من يغير ملف الإصدار. وللرمز المحدود، اضبط الحزم والصلاحيات والعمر؛ تثبيت الحزم أثناء البناء لا يحتاج عادةً صلاحية نشر.
اختبر المسار الشرعي
افحص الحساب والحزمة وسير العمل قبل الإصدار، ومحتويات الحزمة وإثبات المصدر حيث ينطبق. لا تعالج فشل النشر بإلغاء التحقق عامة أو نسخ رمز مشرف في تذكرة. حدد إن كان الفشل هوية أو صلاحيات أو سياسة الحزمة.
قبل أن تتخذ أي خطوة
تتغير قواعد المصادقة؛ استخدم الإعدادات الحالية ولا تتبع شرحًا يطلب إنشاء رموز classic متقاعدة.
ما الذي يمكنك فعله الآن؟
- فعّل التحقق المدعوم في أمان حساب npm واحفظ الاسترداد.
- راجع Settings ثم Publishing access للحزمة والمشرفين عليها.
- لأتمتة مدعومة، اضبط هوية المستودع وسير العمل في trusted publishing، أو استخدم رمزًا حاليًا محدودًا عند الحاجة.
