🔐 npm Trusted Publishing กำลังเปลี่ยนจาก “ตั้งค่าได้หนึ่งทาง…

🔐 npm Trusted Publishing กำลังเปลี่ยนจาก “ตั้งค่าได้หนึ่งทาง” เป็น “กำหนด trust ได้หลายทาง”

เดิมแพ็กเกจ npm ที่ใช้ OIDC อาจติดข้อจำกัดเมื่อมีหลาย release workflow เช่น stable, prerelease และ staging เพราะต้องผูก Trusted Publisher ไว้ชุดเดียว หรือกลับไปพึ่ง long-lived token ในบางเส้นทาง

อัปเดตวันที่ 3 ก.ย. 2026 ทำให้หนึ่งแพ็กเกจมี Trusted Publishing configuration ได้หลายชุด แต่ละชุดแยก repository, workflow และ environment criteria ของตัวเอง และทำงานแบบ additive — ถ้า OIDC token ตรงกับชุดใดชุดหนึ่งก็ผ่านการอนุญาต

สิ่งที่เปลี่ยนเชิงปฏิบัติ:

• แยก stable release กับ prerelease workflow ได้ โดยไม่ต้องแชร์ token เดียว
• แต่ละ configuration ตั้งเป็น stage-only ได้เป็นค่าเริ่มต้น ส่วน direct npm publish ต้อง opt-in
• npm จะสแกน malware ก่อน staged package พร้อมให้ maintainer กดอนุมัติ
• หน้า versions แสดงประวัติ staged, approved และ rejected ให้ไล่ตรวจย้อนหลังได้

จุดสำคัญคือ OIDC ลดอายุและขอบเขตของ credential แต่ไม่ได้ทำให้ workflow ปลอดภัยโดยอัตโนมัติ ถ้าเปิด direct publish ทุกเส้นทาง ความเสี่ยงจาก workflow ที่ถูก compromise ก็ยังไปถึง registry ได้

แนวทางที่ควรทำคือแยก trust ตาม environment, ให้ production ใช้ stage-only เท่าที่ทำได้, จำกัด workflow และปิดการใช้ token แบบเดิมเมื่อไม่จำเป็น ทั้งนี้ self-hosted runner ยังไม่อยู่ในขอบเขต Trusted Publishing และคำสั่ง install private dependencies ยังต้องใช้ authentication แบบเดิม

เหมาะกับทีมที่มีหลาย release pipeline หรือดูแลแพ็กเกจสำคัญใน supply chain แต่ทีมเล็กที่มี workflow เดียวอาจยังไม่จำเป็นต้องเพิ่ม configuration ให้ซับซ้อนขึ้น

ลิงก์และรายละเอียดอยู่ในคอมเมนต์แรก — ตอนนี้ pipeline ของคุณแยก stable, prerelease และ staging ออกจากกันแค่ไหน?

ติดตาม SynapTech AI เพื่ออ่านข่าวเทคโนโลยีแบบ Code Review Graph ที่เชื่อมกับการใช้งานจริง

#npm #OIDC #SupplyChain #DevOps #SynapTechAI

---

📖 อ่านบทความเต็มบน Facebook | 🔔 ติดตาม SynapTech