通过 Github Actions 发布可审计的 npm 包

在 npm 和 GitHub 中，出处证明（Provenance）指的是软件包的来源证明，用于验证软件包是否由可信的构建流程生成。通过 GitHub Actions 和 npm 的集成，可以自动生成并附加 Provenance 信息到发布的包中，以供审计和增强软件供应链安全。核心机制涉及 GitHub Actions、npm、Sigstore 和 OIDC 技术。

Provenance 的价值在于能够保证所有构建步骤和来源信息被记录，便于排查供应链攻击。同时也能够满足融、政府等领域对软件来源的严格审计要求。

实现机制

npm 软件包出处证明通过 GitHub Actions 工作流生成可验证的出处声明，记录软件包的源代码仓库、构建指令和发布者身份。流程如下：

GitHub Actions 运行构建和发布工作流，生成软件包及其出处声明，其中包括运行构建的环境、步骤等信息。

Sigstore 使用加密签名确保声明不可篡改，存储起来供用户验证。

使用临时凭证机制 OIDC 验证工作流的身份，绑定发布者信息，确保声明可信。

实践方式

以下介绍如何修改 GitHub Actions 配置文件，支持出处证明。这里项目使用的是 pnpm 管理 monorepo 项目，所以还需要解决 pnpm publish 对 --provenance 参数的兼容问题，并配置生产环境及特定 tag 触发。

修改 GitHub Actions 配置文件

创建或修改 .github/workflows/publish.yml，确保在推送特定 tag（如 v1.0.0）时触发，并在配置有密钥的环境中运行流水线并发布 npm 包：

name: Publish npm Package

on:
  push:
    tags:
      - 'v*'

jobs:
  publish:
    runs-on: ubuntu-latest
    environment: production
    permissions:
      contents: read
      id-token: write
    steps:
      - uses: actions/checkout@v4
      - uses: pnpm/action-setup@v4
        with:
          version: 10
      - uses: actions/setup-node@v4
        with:
          node-version: 18
          registry-url: https://registry.npmjs.org
      - run: pnpm install
      - run: pnpm build
      - run: pnpm publish --access public
        env:
          NODE_AUTH_TOKEN: ${{ secrets.NPM_TOKEN }}
          NPM_CONFIG_PROVENANCE: true

yaml

关键点：