npm trusted publishing научился управлять dist-tags через OIDC

GitHub объявил 30 сентября 2026 года, что npm trusted publishing теперь может управлять dist-tags через короткоживущие OIDC-креденшелы вместо долгоживущих токенов. Новая опция «Allow npm dist-tag» включается вручную и по умолчанию выключена.

• Опция «Allow npm dist-tag» по умолчанию выключена для новых и старых конфигураций
• Право на dist-tags не зависит от права на публикацию версий
• Классические токены для dist-tag продолжают работать без изменений
• Право привязано к claims OIDC-токена: репозиторий, workflow, окружение