npm 分阶段发布怎么用？一个降低发布风险的实操步骤

InfoQ 上有一条简短的新闻。npm 上线了分阶段发布功能，在包发布到公共注册表之前增加了一个可配置的人工审批步骤。

这个功能看起来只是一个发布流程的小改动，但对开源维护者和企业开发团队来说有实际价值。以前 npm 包的发布流程是开发者执行 npm publish，包直接发布到公共注册表，没有审批没有缓冲。如果开发者发布的版本里包含了一个 bug 或者安全漏洞，这个有问题的版本会在发布之后的几秒钟内被全球用户自动下载，因为很多项目在持续集成流程里自动更新依赖。

npm 分阶段发布怎么用？做法是，开发者执行 npm publish 之后，发布不会立刻生效。包先进入一个暂存状态，指定的审批人需要手动确认这个版本没问题之后，包才会正式发布到公共注册表。如果审批人发现有问题可以拒绝发布，开发者修复后再重新提审。

这个功能对几个场景有实际价值。第一个是多人维护的大型开源项目。以前的发布流程是核心维护者一个人发，其他人对发了什么被动知道。分阶段发布让核心维护者在发布前必须等至少一个协作者的审批签字。

第二个是企业内部的 npm 私有注册表场景。一个团队在用的内部包被其他团队的开发者升级了，但因为升级是自动触发的，用方可能完全不知道版本变更的内容。分阶段发布让发布方和用方在升级生效前有一次确认沟通。

再往下是安全敏感的包。如果一个 npm 包被大量项目依赖，它的任何一个版本发布如果有安全问题会影响到大范围的下游项目。分阶段发布给这种高信任度的包增加了一道安全审查关。

对用 npm 做开发的团队来说，这个新功能给了一个免费升级安全流程的机会。开启分阶段发布不需要额外成本，只需要在发布流程里多一个审批步骤。这个步骤平均耗时几分钟但能避免因为一次误发布导致的数小时乃至数天的问题排查和修复。

创业找资源，上乌鸦部落。