From 9cdfdbe10da09a0e6455797263cc6b68cc3ee37b Mon Sep 17 00:00:00 2001 From: Bori-github Date: Sun, 19 Jul 2026 02:43:31 +0900 Subject: [PATCH] =?UTF-8?q?fix(ci):=20provenance=EB=A5=BC=20NPM=5FCONFIG?= =?UTF-8?q?=5FPROVENANCE=20env=EB=A1=9C=20=EC=BC=9C=EA=B8=B0?= MIME-Version: 1.0 Content-Type: text/plain; charset=UTF-8 Content-Transfer-Encoding: 8bit zpl-core@0.1.1 발행 시 --provenance 플래그를 줬으나 attestations가 0개였다. pnpm 10.x는 publish를 npm CLI로 위임하는데 이 경로에서 --provenance 플래그가 no-op이다. env NPM_CONFIG_PROVENANCE=true가 실제 트리거이므로 두 publish 워크플로에 추가한다. 다음 발행(0.1.2·react-zpl)부터 provenance가 첨부된다. 이미 나간 0.1.1은 재발행 불가라 그대로 둔다. Co-Authored-By: Claude Opus 4.8 --- .github/workflows/publish-npm-react-zpl.yml | 5 ++++- .github/workflows/publish-npm-zpl-core.yml | 5 ++++- 2 files changed, 8 insertions(+), 2 deletions(-) diff --git a/.github/workflows/publish-npm-react-zpl.yml b/.github/workflows/publish-npm-react-zpl.yml index 352f09f..577858b 100644 --- a/.github/workflows/publish-npm-react-zpl.yml +++ b/.github/workflows/publish-npm-react-zpl.yml @@ -67,6 +67,9 @@ jobs: - name: Publish env: NODE_AUTH_TOKEN: ${{ secrets.NPM_TOKEN }} + # provenance 생성을 트리거하는 실제 스위치. pnpm 10.x의 --provenance + # 플래그는 npm CLI로 위임되며 no-op이라, env로 켜야 서명이 첨부된다. + NPM_CONFIG_PROVENANCE: true run: | set -euo pipefail NAME="$(node -p "require('./apps/react-zpl/package.json').name")" @@ -83,7 +86,7 @@ jobs: *) NPM_TAG="latest" ;; esac # workspace:^ 의존성은 pnpm publish가 발행 시 범위 핀으로 치환한다. - # --provenance: id-token 권한으로 공급 출처 증명을 첨부. + # 공급 출처 증명은 위 NPM_CONFIG_PROVENANCE env가 켠다. pnpm --filter @zpl-kit/react-zpl publish \ --no-git-checks \ --provenance \ diff --git a/.github/workflows/publish-npm-zpl-core.yml b/.github/workflows/publish-npm-zpl-core.yml index 9769b1b..7170cd9 100644 --- a/.github/workflows/publish-npm-zpl-core.yml +++ b/.github/workflows/publish-npm-zpl-core.yml @@ -64,6 +64,9 @@ jobs: - name: Publish env: NODE_AUTH_TOKEN: ${{ secrets.NPM_TOKEN }} + # provenance 생성을 트리거하는 실제 스위치. pnpm 10.x의 --provenance + # 플래그는 npm CLI로 위임되며 no-op이라, env로 켜야 서명이 첨부된다. + NPM_CONFIG_PROVENANCE: true run: | set -euo pipefail NAME="$(node -p "require('./apps/zpl-core/package.json').name")" @@ -79,7 +82,7 @@ jobs: *-*) NPM_TAG="rc" ;; *) NPM_TAG="latest" ;; esac - # --provenance: id-token 권한으로 공급 출처 증명을 첨부. + # 공급 출처 증명은 위 NPM_CONFIG_PROVENANCE env가 켠다. pnpm --filter @zpl-kit/zpl-core publish \ --no-git-checks \ --provenance \