npm يضيف رموز stage-only لفصل تجهيز الحزمة عن نشر إصدارها

أضاف npm خيار Read and write (stage only) عند إنشاء granular access token، وفق إعلان GitHub الصادر في 18 سبتمبر 2026. يوضح تقريرنا في 19 سبتمبر الفرق بين إعداد إصدار ونشره: ترسل الأتمتة الحزمة باستخدام npm stage publish، ثم يراجعها مسؤول الحزمة ويعتمد إصدارها مع المصادقة الثنائية 2FA.

يرفض npm محاولة النشر المباشر عبر npm publish بهذا الرمز. لكنه يحتفظ بصلاحيات كتابة أخرى، منها نقل dist-tags وإهمال الإصدارات عبر deprecate. لذلك لا يصح التعامل معه بوصفه رمزاً للقراءة فقط.

أين تقع فائدة الفصل؟

من منظور تنظيم الفريق، يمكن إبقاء إعداد الحزمة ضمن الأتمتة مع الاحتفاظ بقرار الإصدار لدى المسؤول عنها. لكن خطوة المراجعة تحتاج إلى مضمون واضح. الضغط على الموافقة دون فحص الناتج لا يقدم الدليل نفسه الذي تقدمه مراجعة محتوى الحزمة وصلته بالتغييرات المعتمدة.

في مثال افتراضي، يمكن للفريق فحص اسم الحزمة ورقم الإصدار والملفات المضمنة ومطابقتها للتغيير المقصود. هذه اقتراحات لتنظيم المراجعة، وليست نتائج فحص أجريناه على حزمة محددة. والغرض أن يعرف المراجع ما الذي يُتوقع منه التحقق منه قبل الاعتماد.

ويفيد توثيق مسؤولية القرار أيضاً. إذا غاب الشخص الذي يعتمد الإصدارات، ينبغي أن تكون طريقة التعامل مع الانتظار أو الخطأ معروفة. فصل المراحل يغير طريقة العمل اليومية، وليس مجرد اسم الأمر المستخدم في ملف الأتمتة.

تبديل الرمز ليس نهاية الانتقال

قبل الانتقال، يحتاج الفريق إلى معرفة مواضع استخدام الرمز والخطوات التي تنفذها عملية الإصدار. ثم يمكن تجربة المسار الجديد على نطاق مناسب والتحقق من أن النسخة المقصودة هي التي وصلت إلى المراجعة.

وتبقى الصلاحيات الأخرى للرمز مهمة. منع إنشاء إصدار مباشر لا يعني انعدام أثر كل عملية كتابة؛ فالوسوم وحالة الإصدار جزء من تجربة مستخدمي الحزمة. لذلك ينبغي فهم نطاق الصلاحيات المتبقية بدلاً من اختزال التغيير في كلمة «أكثر أماناً».

التحديث اختياري ولا يغير الرموز القائمة تلقائياً أو قدراتها على النشر المباشر. ولهذا لا يكفي الاطلاع على الإعلان للاستنتاج أن أتمتة مشروع معين انتقلت بالفعل. الدليل العملي هو الإعداد الذي يستخدمه المشروع وما ينتجه عند التشغيل. لم ننفذ هنا انتقالاً أو اختبار نشر؛ إنما نوضح السلوك المعلن وحدوده.

المصادر

• GitHub — stage-only tokens, September 18
• npm Docs — staged publishing