게시 시 악성코드 검사와 이중용도 메타데이터
새로 게시한 패키지를 공개 전 자동 검사하고, 이중용도 콘텐츠에는 package.json 메타데이터와 DISCLOSURE 파일을 요구합니다.
교안에 영향
예전 안내 글의 “게시 직후 바로 install 가능” 설명과 “이중용도 패키지는 일반 토큰으로 직접 게시 가능” 안내가 맞지 않게 됩니다.
요약
- 새로 게시한 패키지는 install 가능해지기 전에 자동으로 검사되며, 결과에 따라 정상 게시, 수동 검토, 차단으로 나뉩니다. - 게시 후 공개까지 보통 약 5분의 지연이 생기며, 피크 시간이나 패키지 크기와 내용에 따라 더 길어질 수 있습니다. - 검사 대기 중에도 npm dist-tag 는 계속 동작하지만, npm deprecate 와 npm unpublish 는 패키지가 공개될 때까지 사용할 수 없습니다. - 이중용도 콘텐츠를 선언하는 패키지는 package.json 의 contentPolicy 필드와 루트의 DISCLOSURE 파일이 필요하며, 2FA가 강제되는 방식으로만 게시해야 합니다. - 이중용도 메타데이터를 뺀 새 버전은 거부되며, 일부 패키지는 추가 자동 검사와 Trust & Safety 검토를 받을 수 있습니다.
바뀐 것
새 기능
- 이중용도 콘텐츠를 선언하는 contentPolicy 필드가 package.json 에 추가됩니다.
- 이중용도 콘텐츠를 선언한 패키지는 루트 디렉터리에 텍스트만 담긴 DISCLOSURE 파일을 포함해야 합니다.
개선
- 이중용도 메타데이터를 선언하면 필요할 때 해당 콘텐츠에 맞춘 추가 자동 검사가 수행될 수 있습니다.
- 이중용도 패키지는 2FA가 강제되는 방식으로만 게시할 수 있으며, 직접 게시할 때 bypass-2FA 토큰은 허용되지 않습니다.
- 이중용도 메타데이터를 넣은 뒤에는 contentPolicy 필드와 DISCLOSURE 파일을 유지해야 하며, 제거한 게시본은 거부됩니다.
기타
- 새로 게시한 패키지는 install 가능해지기 전에 자동으로 검사됩니다.
- 검사 결과에 따라 패키지는 정상 게시, 수동 검토, 차단될 수 있습니다.
- 게시와 공개 사이에 보통 약 5분의 지연이 생기며, 경우에 따라 15분 이상 걸릴 수 있습니다.
- 검사 대기 중에도 npm dist-tag 는 계속 사용할 수 있지만, npm deprecate 와 npm unpublish 는 공개 전까지 동작하지 않습니다.
- 차단된 패키지는 알림과 함께 이의를 제기할 수 있으며, 심각도에 따라 계정 조치가 이뤄질 수 있습니다.
- 이 요구사항은 단계적으로 적용되며, 일부 유지관리자에게는 별도 안내가 전달됩니다.