수동 절차 걷어낸 신규 패키지 배포 파이프라인
GitHub은 2026년 10월 2일 공식 변경 로그를 통해 npm 단계별 배포(Staged Publishing) 기능에서 완전히 새로운 패키지를 직접 생성할 수 있는 지원을 추가했다고 밝혔습니다. 이전까지 단계별 배포는 레지스트리에 이미 등록된 기존 패키지의 후속 버전 관리에 한정되어 있었습니다. 개발자가 새로운 패키지를 등록하려면 사전에 최소 한 번의 수동 배포(manual first publish)를 거쳐 레지스트리에 이름을 등록해야만 했습니다.
이번 업데이트를 통해 개발자는 사전 수동 작업 없이도 로컬 CLI 세션이나 자동화 스크립트에서 곧바로 신규 패키지 생성 명령을 실행할 수 있습니다. 지원 범위는 공개 스코프 패키지와 일반 공개 비스코프 패키지뿐만 아니라 비공개 스코프 패키지(Private scoped packages)까지 폭넓게 포함됩니다.
세분화된 권한 토큰과 스테이징 전용 토큰의 결합
신규 패키지 생성 기능의 핵심은 CI/CD 자동화 환경에 적합한 인증 메커니즘을 지원한다는 점입니다. 개발자는 일반적인 사용자 대화형 CLI 세션뿐만 아니라, 최소 권한 원칙을 따르는 세분화된 액세스 토큰(Granular Access Token)이나 스테이징 작업만을 수행할 수 있는 '스테이징 전용 토큰(stage-only token)'을 활용해 파이프라인을 구성할 수 있습니다.
이러한 인증 방식을 활용하면 빌드 머신이나 외부 배포 에이전트에 강력한 레지스트리 쓰기 권한을 영구 부여하지 않아도 됩니다. 자동화 도구는 새로운 패키지의 메타데이터와 패키지 본문을 스테이징 대기열로 올리는 역할만 수행하며, 레지스트리 내부의 주요 설정을 임의로 변경할 수 없습니다.
플레이스홀더 버전과 관리자 승인 절차 메커니즘
새로운 패키지가 스테이징을 통해 처음 등록될 때 레지스트리에는 즉시 실제 코드가 공개되지 않습니다. 시스템은 임시로 '0.0.0-stage' 버전의 플레이스홀더를 등록하고, 실제 배포 대상 콘텐츠는 스테이징 대기열(staged queue)에 보관합니다.
이 버전은 패키지 관리자(maintainer)가 명시적으로 검토하고 승격(promote)을 승인하기 전까지 일반 사용자에게 다운로드되거나 설치될 수 없습니다. 패키지가 레지스트리에 안전하게 생성된 이후에는 관리자 화면에서 패키지 설정을 조정하고 OIDC 기반 신뢰할 수 있는 배포(Trusted Publishing) 설정을 연동할 수 있습니다. 해당 기능 동작에는 npm CLI 11.15.0 이상 및 Node.js 22.14.0 이상의 런타임 환경이 요구됩니다.
CI/CD 공급망 보안 관점에서의 개선 효과
초기 패키지 생성 시 수동 배포를 강제하던 방식은 개발 조직에 일종의 운영 병목을 형성하거나 보안 취약 지점을 노출해 왔습니다. 레지스트리 쓰기 권한을 지닌 최상위 계정 토큰을 CI 환경에 직접 등록하거나, 개발자의 로컬 환경에서 비정형적인 1회성 명령으로 패키지를 먼저 등록해야 했기 때문입니다.
스테이징 전용 토큰을 통한 신규 패키지 생성이 가능해짐에 따라, 팀은 패키지 초기 기획 시점부터 코드로 정의된 배포 파이프라인을 그대로 실행할 수 있습니다. 특히 빌드 파이프라인이 임의로 악성 코드를 즉각 출시하지 못하도록 차단하면서도 인프라 구성 자체는 완전 자동화할 수 있어 공급망 위험을 낮추는 실무적 대안으로 평가할 수 있습니다.
신뢰 배포 연계와 실무 적용 시 고려 사항
신규 패키지 스테이징 기능은 패키지 출시 후 OIDC 기반 '신뢰할 수 있는 배포(Trusted Publishing)'로 전환하는 워크플로와 결합할 때 시너지를 냅니다. 패키지 이름과 공간을 스테이징 단계에서 선점하고 첫 버전을 안전하게 승인한 뒤, 이후 지속적 배포는 클라우드 공급자와 npm 간의 단기 OIDC 인증으로 전환하는 방식을 권장합니다.
다만 실무 적용 시에는 npm CLI 버전 요구사항을 유의해야 합니다. Node.js 22.14.0 및 npm CLI 11.15.0 이상의 최신 환경이 갖춰지지 않은 레거시 러너에서는 명령이 실패할 수 있습니다. 또한 최초 승격 단계에서는 관리자의 다단계 인증(2FA)이나 수동 검토가 필수적이므로 릴리스 파이프라인의 인적 승인 단계를 미리 설계해 둘 필요가 있습니다.
출처
GitHub Changelog의 원출처와 본문에 표시한 참고자료를 바탕으로 한국어로 재구성했습니다. ‘ARCH.B 분석’은 자료를 읽고 덧붙인 편집 해석입니다.
npm staged publishing now supports creating new packages (새 창)
