NPM 分阶段发布：守护供应链安全
本文探讨了 NPM 分阶段发布机制如何在供应链安全中发挥作用。通过将包的发布过程分为多个阶段（如先发布到受限范围进行验证，再逐步扩大发布范围），开发者可以在问题升级前及早发现安全漏洞或破坏性变更，从而降低恶意包或错误更新对下游用户造成的影响。文章介绍了分阶段发布的核心流程、与常规发布的关键区别，以及如何利用该机制增强开源项目的整体安全性。
背景速读
- npm（Node Package Manager）是 JavaScript/TypeScript 生态中最主要的包注册中心，开发者通过它发布和安装开源代码包。近年针对 npm 的供应链攻击激增——攻击者通过入侵维护者账户、植入恶意代码等方式，让下游项目在不知情时引入后门或漏洞。
- "staged publishing"（分阶段发布）是一种新的安全机制：维护者先在受限的"暂存"范围发布新版本，只让指定测试项目或 CI 流水线看到；验证无误后，再推送给全体用户。这类似软件行业的"金丝雀发布"策略，旨在防止恶意或错误版本瞬间波及所有用户。
- 本文的发布方 nuqs 是一个 React 状态管理库，作者在文中分享了他们如何设计并实现这套分阶段发布流程，以降低 npm 包的供应链风险。该实践对依赖 npm 的大型开源项目有直接参考意义。