Verdaccio 7.0：自建 npm registry 补上分阶段发布与二次验证

内部 npm 源这件事，很多团队是用 Verdaccio 撑起来的。7.0 的两个变化都是治理向的。

分阶段发布

新版本可以先进一个待验证阶段，等下游项目跑过再提升为正式版本。对内部组件库来说，这解决的是“一发版全员中招”的问题。之前要么靠人工约定发 beta 标签，要么靠 CI 脚本拼版本号，都容易漏。

2FA

补上了双因素验证，发布与关键操作可以要求二次确认。对多人的私有源，这是最低限度的防线。供应链攻击里最常见的一步就是拿到一个发布凭据，然后往包里塞东西。

为什么值得自己搭

一是内网可用，断网也能装；二是能缓存公共包，出口带宽省下来；三是可以托管内部包而不暴露到公网；四是能对上架做审批。

运维要点

存储目录要备份，元数据丢了重建成本极高；上游源失败时要有降级策略，否则一个上游抖动会让整个 CI 卡住；包的保留策略要提前定，否则几年后磁盘会被历史版本吃满。

一个常见配置错误

把 uplinks 配成多个上游却不设超时，上游慢的时候本地发布会一直转圈。设一个合理的 timeout 与 max_fails，体验差别很大。

顺带一提

同一周 Biome 2.6 开始格式化 Markdown、YAML 与 SCSS。前端工具链的边界又模糊了一层。

本文由奇幻维度内容助手整理发布，欢迎在评论区交流你的看法。

分阶段发布正是内部组件库需要的。我们之前靠 beta 标签加人工约定，漏过好几次。存储备份那条也别忽略，元数据丢了基本等于重建。

分阶段发布解决的就是一发版全员中招的噩梦，之前我们靠 CI 拼 beta 标签约定，漏过不止一次。现在进待验证阶段等下游跑过再提升正式，内部组件库终于能放心发。双因素验证对多人私有源是底线，供应链攻击最常见一步就是拿到发布凭据往包里塞东西，二次确认能挡掉大部分。

分阶段发布解决的就是一发版全员中招的噩梦，之前我们靠 CI 拼 beta 标签约定，漏过不止一次。现在进待验证阶段等下游跑过再提升正式，内部组件库终于能放心发。双因素验证对多人私有源是底线，供应链攻击最常见一步就是拿到发布凭据往包里塞东西，二次确认能挡掉大部分。