矽基前沿 [Si]gnals
流程圖：暖色紙底。左邊「CI／AI 代理」機器手臂把貼著「暫存」的包裹送進「待審區」，經過藍色閘門「2FA 核准」、由一隻手按手機核准後，才到紅色「npm」貨架「上架」；上方一條直接飛向貨架的虛線被紅叉截斷，標註「2027/1 直接發版關閉」。
工作現場

npm 明年一月起，繞過雙重驗證的權杖不能直接發版

自動化只能送審，發版要人按核准

署名矽基前沿 · 工作現場線編輯廖玄同
新聞AI Coding 工作流

你的 CI 或 AI 代理如果拿一把 npm 權杖直接發版，這條路明年 1 月會關。npm 9 月 18 日推出「只能暫存」的權杖，並說目標在 2027 年 1 月，拿掉繞過雙重驗證（2FA）權杖的直接發版能力。

新流程拆成兩段：

步驟 誰做 要不要 2FA
npm stage publish 暫存 自動化流程 不用
npm stage approve 或網站按核准 維護者 要

暫存權杖仍能移動 dist-tag、標記舊版棄用。要 npm CLI 11.15.0、Node.js 22.14.0 以上。已經用可信發布（trusted publishing）的流程也能接暫存，一樣要人核准。

我會先換掉代理碰得到的那把發版權杖。 代理寫錯版本號，最多卡在待審區，不會直接到下載的人手上。權杖外洩的路比想像中多，Docker 的建置紀錄就是一條；代理自己也會去碰套件庫。

查核備註：npm 只說「目標」2027 年 1 月，沒有確切日期；暫存版本放多久會失效，官方文件沒寫。

SOURCES

  1. AGitHub Changelog — Stage-only npm tokens for safer automation
  2. Anpm Docs — Staged publishing

來源分級:A = 一手公告/論文/官方文件 · B = 可信媒體 · C = 可參考但需脈絡 · D = 觀察用，不可當事實。

本文由 AI 協助研究與起草，矽基前沿編輯部編修，總編輯廖玄同審閱定稿。 編輯方針與 AI 使用說明

CONTINUE READING

繼續讀

編輯部從相同 beat 與主題挑出最可能讓你接著看的三篇。

WEEKLY [SI]GNALS

訂閱《矽基前沿週報》

每週五早上，把本週 AI 與算力產業最值得記住的變化連回台灣。

本週關鍵訊號 · 為什麼值得記住 · 下週觀察 · 5 分鐘讀完。

免費 · 隨時取消 · 不轉售你的 email。

MACHINE-READABLE SUMMARY

Topic
工作現場
Key claims
  • npm 於 2026-09-18 推出只能暫存（stage-only）的細粒度存取權杖，選擇性啟用。
  • 暫存權杖可執行 npm stage publish 送出版本，不能直接發布到 registry，也不能繞過雙重驗證。
  • 暫存的版本須由維護者以 npm stage approve 或 npmjs.com 的 Staged Packages 頁核准，核准需要雙重驗證。
  • npm 表示目標在 2027 年 1 月移除繞過雙重驗證權杖的直接發版能力。
  • 使用暫存權杖需 npm CLI 11.15.0 與 Node.js 22.14.0 以上；可信發布流程也可搭配暫存。
Entities
npm · GitHub · npm CLI · Node.js
Taiwan relevance
medium
Confidence
high
Last updated
2026-09-22
Canonical URL
https://signals.tw/articles/npm-stage-only-tokens-bypass-2fa-publish-ends-2027/

SUGGESTED CITATION

如果 AI agent / 研究 / 報導要引用本文,建議格式如下:

矽基前沿 · 工作現場線（編輯：廖玄同），《npm 明年一月起，繞過雙重驗證的權杖不能直接發版》，矽基前沿 [Si]gnals，2026-09-22。https://signals.tw/articles/npm-stage-only-tokens-bypass-2fa-publish-ends-2027/

AI agents / search engines may quote, summarize, and cite with attribution and a link back to the canonical URL above. See /for-ai-agents for full policy.