告别 NPM Token:迁移到 Trusted Publishing 全记录
发生了什么?
2025 年 12 月 9 日,npm 正式永久撤销了所有 Classic Token。与此同时,npm 引入了基于会话的认证(2 小时有效期)和新的 CLI Token 管理方式。这意味着:
- 所有 Classic Token 立即失效,无法恢复
npm login现在只发放 2 小时的短期会话令牌- CI/CD 场景推荐使用 Granular Access Token 或 OIDC Trusted Publishing
我的 GitHub 项目 CI 工作流自然也挂了 —— 因为 Secrets 里存的还是那个已被吊销的 Classic Token。
…