GitHub는 2026년 9월 30일 npm 신뢰 배포에 dist-tag 관리 권한이 추가됐다고 알렸다. dist-tag는 npm 패키지의 특정 버전을 latest나 beta 같은 이름으로 가리키는 표지다. 기존에는 신뢰 배포로 패키지를 올리더라도 이 표지를 바꾸려면 별도의 액세스 토큰을 보관해야 하는 경우가 있었다. 새 권한은 짧은 수명의 OIDC 인증으로 그 작업을 허용한다. 출처
기본으로 켜지지는 않는다
Allow npm dist-tag 권한은 새 설정과 기존 설정 모두에서 기본값이 꺼짐이다. 유지관리자가 패키지의 신뢰 배포 설정에 들어가 필요한 구성에 직접 허용해야 한다. 이 권한은 실제 버전을 게시하는 권한과 분리돼 있어, 게시 전 준비 단계만 맡는 구성에도 별도로 부여할 수 있다. 출처
기존 흐름과의 관계
dist-tag 변경 요청에 사용된 OIDC 정보가 허용된 구성 중 하나와 일치하면 해당 작업을 승인한다. 이미 액세스 토큰으로 태그를 관리하는 방식도 계속 작동한다. 따라서 장기 토큰을 줄이려는 패키지 관리자가 배포 설정을 검토할 때 쓸 수 있는 선택지다. 출처