GitHub为NPM可信发布设置48小时验证期限 阻断仓库名回收漏洞

https://www.landian.news/archives/127347.html

GitHub 日前发布公告宣布调整 NPM Trusted Publishing 规则：新建配置如果在 48 小时内没有完成首次成功发布那就会失败，不能再继续用于发布软件包。此次调整针对研究人员发现的仓库名回收漏洞，该漏洞可能让攻击者绕过包维护者的凭证，向他人名下的 NPM 包推送新版本。