npm вводит 2FA-одобрение релизов и контроль источников установки

Коллеги, хочу обратить внимание: в сфере кибербезопасности npm ввёл staged publishing и новые флаги контроля источников установки.

Staged publishing требует 2FA-подтверждения мейнтейнера перед тем, как пакет станет доступен; нужен npm CLI ≥11.15 и включён 2FA, пакет должен уже быть в реестре.
Флаги --allow-file, --allow-remote и --allow-directory явно разрешают установки с локальных файлов, URL-архивов и директорий.
GitHub советует сочетать staged publishing с доверённой публикацией через OIDC.

Почему это важно: меры усиливают «proof of presence» и усложняют массовое отравление пакетов.

Как Вы планируете адаптировать процессы публикации и установки пакетов в своей команде?
#кибербезопасность #supplychain #npm #DevSecOps