一句话看懂：npm 的可信发布（Trusted Publishing）配置现在可以按需开启 dist-tag 管理权限，让维护者用短时 OIDC 凭证完成“发布后打标签”这类操作，不必再为改一个 tag 而长期保留一个访问令牌。对已经走无令牌发布流程的项目来说，这补上了最后一块需要手动保管密钥的拼图。
事件核心：发生了什么
GitHub Changelog 于 2026 年 9 月 30 日发布更新：npm 的可信发布配置新增一个可选权限 “Allow npm dist-tag”。开启后，维护者可以使用短时有效的 OIDC 凭证来管理 dist-tag，例如把某个版本提升为 latest，或更新 next、beta 等标签指向。此前的可信发布只覆盖发布（publish）和预发布（staging）环节，dist-tag 操作仍需依赖粒化的长期访问令牌，导致不少已完成无令牌改造的项目，仍要留一个 token 专门处理发布后的标签调整与回滚标记。
值得注意的是，该权限默认关闭，新老配置都不会自动获得这项能力，且与直接发布权限相互独立——只做 staging 的配置同样可以单独授予 dist-tag 管理权。鉴权逻辑是：只要传入的 OIDC 令牌匹配任意一个已开启该权限的配置，操作即被放行。原有的基于 token 的 dist-tag 管理方式不受影响，继续可用。
为什么重要
npm 是 JavaScript 生态最核心的包分发基础设施，供应链安全长期依赖“少留长期凭证”这一原则。可信发布用 OIDC 把发布行为绑定到具体的 CI/CD 身份上，本身就是减少密钥泄漏面的做法。dist-tag 权限的补齐，意味着从发布、预发布到版本标签管理，整条链路可以完全脱离长期令牌运行。对于在 CI 中自动发布、滚动维护 beta/next 通道的项目，这是一次流程上的收口，也降低了一个 token 一旦泄漏就能篡改 latest 指向的风险。
对用户/开发者/创作者的影响
如果你使用 GitHub Actions 等支持 OIDC 的环境发布 npm 包，可以在包的 trusted publishing 设置里，对需要管理标签的配置打开 “Allow npm dist-tag”，随后在 workflow 中以 OIDC 身份执行 dist-tag 相关操作，无需再配置 NPM_TOKEN。对只维护少量稳定版本的个人项目，影响有限；但对有 next、beta、canary 多通道的库作者、以及执行自动回滚的团队，可以减少一处密钥管理负担。普通安装用户不会感知到直接变化，但上游包若因此更规范地管理标签，latest 指向错误的概率会有所下降。
AI 工具推荐
想把多个 AI 模型放在一个入口？
GamsGo AI 集成 ChatGPT、DeepSeek、Gemini、Claude、Midjourney、Veo 等常用模型，适合写作、绘图、视频和日常 AI 工作流。
推广链接：通过此链接购买，我可能获得佣金，不影响你的价格。
值得关注的后续
一是 GitHub Actions 之外的 CI 平台（如 GitLab、CircleCI）何时跟进同等支持，目前公开信息显示该能力依托 OIDC 可信发布体系。二是 npm 是否会继续把更多原本依赖 token 的操作纳入可信发布范围，例如废弃包、更改访问权限等。三是社区工作流模板是否很快默认开启该权限，以及是否有项目在迁移中遇到标签与发布权限分离带来的配置复杂度。
