本周包管理动态：2026 年 10 月 3 日

This Week in Package Management: 3 October 2026 — nesbitt.io · 13 小时前 · 🛠 工具 / 开源

「本周包管理动态」第 20 期汇总了 2026 年 10 月 3 日前后各主流包管理器与供应链工具的版本变化，素材来自作者维护的包管理器 OPML 订阅源以及其在 Mastodon 上的发布与转发。贯穿全篇的线索是凭证与信任边界的收紧：mise 2026.10.0 要求无密钥 cosign 签名包必须匹配固定的签名者身份，并停止让 GitHub attestation 工作流检查接受部分匹配；npm 12.2.0 为 dist-tag 引入 OIDC 认证，注册表侧新增默认关闭的 dist-tag 权限，使工作流无需长期令牌即可维护 latest、next 等标签；pnpm 12.9 修正了登录重定向时把凭证放进请求体发往其他源的问题，RubyGems 4.0.22 同样把凭证重定向限制在同源之内。功能侧，mise 2026.9.18 新增 include 键，可从 git 仓库或 OCI 注册表拉取共享配置片段，paranoid 模式要求完整 commit sha 或 OCI 摘要；pnpm 12.9 支持按注册表设置 networkConcurrency，并把每个已安装项目记入 store，12.8 则会在 pack 或 publish 把 .env 打进 tarball 时告警；OpenTofu 1.13.0 提供 Windows on ARM64 官方包，引入可在规划期断言事实、减少未知值的函数，并附带内置 lint 与「符号库」两项实验特性，同时停发 32 位 CPU 版本、移除 WinRM provisioner；Scoop 0.6.0 在安装 app@version 时先检索 bucket 的 git 历史寻找版本化清单，只有检索失败才从 autoupdate 自动生成，checkver 的 GitHub 模式改为需要显式 github: 键才启用 token 路径。作者的整体判断是，这一周的更新集中指向同一个方向：用可验证的短时身份替换长期凭证，把隐式信任改成显式声明。

核心信息

mise 在这一周连发两版：2026.10.0 要求无密钥 cosign bundle 必须匹配固定的签名者身份，GitHub attestation 工作流检查不再接受部分匹配；2026.9.18 新增 include 键，允许 mise.toml 从 git 仓库或 OCI 注册表拉取共享配置片段，可包含的内容限于 tools、env、vars、hooks 与 aliases，paranoid 模式则要求引用完整的 commit sha 或 OCI digest。
npm 12.2.0 让 npm dist-tag 支持 OIDC 认证，此前该命令只接受 token；注册表侧的 trusted publishing 配置新增一项默认关闭的 dist-tag 权限，开启后工作流即可管理 latest、next 等标签而无需持有长期令牌。pnpm 12.9 增加按注册表生效的 networkConcurrency 设置，把每个已安装项目记录进 store，并阻止 pnpm login 在重定向时把凭证放进请求体发往其他源；12.8 会在 pnpm pack 或 pnpm publish 将把 .env 文件打进 tarball 时发出警告。
RubyGems 4.0.22 仅在重定向目标与原站同源时保留凭证，并在 Gem::Installer#verify_spec 中校验 version 字段，同时为 gem exec 增加 --source 选项。Scoop 0.6.0 在安装 app@version 时改为先搜索 bucket 的 git 历史以寻找版本化清单，只有搜索失败才依据 autoupdate 自动生成；checkver 的 GitHub 模式现在必须显式提供 github: 键才会走 GitHub token 路径，相关默认行为随之调整。
OpenTofu 1.13.0 开始提供官方 Windows on ARM64 包，并新增一类函数，让模块作者能够断言 OpenTofu 自身无法推断的事实，从而在规划阶段减少未知值。该版本同时附带两项实验特性：内置 lint 检查，以及可从与模块相同来源导入、集合了值、函数与类型别名的「符号库」。它也是最后一个提供 32 位 CPU 发行版的系列，并移除了 WinRM provisioner。

💡 为什么值得读: 如果你想用一份清单快速判断包管理器供应链安全在往哪个方向走，这一期把凭证收紧、配置分发与工具裁剪三条线索压缩在了同一页里。

✍️ 小编看法: 把这一周的条目排在一起看，会发现它们并不是零散的版本号堆叠，而是在同一件事上分头推进：谁有权在什么时候、以什么身份改动一个制品。mise 把签名者身份钉死、拒绝部分匹配，npm 把 dist-tag 这类高危写操作从长期令牌迁移到 OIDC，pnpm 与 RubyGems 则堵住重定向时凭证外泄的路径，方向高度一致。真正被忽略的代价在迁移摩擦上：信任发布与无密钥签名都需要额外的身份提供方配置，权限默认关闭意味着维护者必须主动打开，小团队与个人包作者很容易卡在配置门槛前，最终要么维持旧令牌，要么干脆放弃更细粒度的权限模型。另一个容易低估的变化是 mise 的 include 键，它把共享配置片段的来源扩展到 OCI 注册表，等于让配置分发也进入制品供应链，paranoid 模式要求完整 commit sha 或 digest 就是对此的提前防守，但这也意味着配置的版本升级会比过去更笨重。OpenTofu 用符号库和断言函数降低规划期未知值，是在可复用性与可预测性之间重新划线，而停发 32 位版本、移除 WinRM provisioner 则说明基础设施工具正在主动切割长尾用户，这类决定对嵌入式与老旧 CI 环境的影响往往在几个季度后才显现。Scoop 依赖 git 历史检索清单的做法很聪明，但 bucket 仓库越大，安装路径上的检索成本就越值得实测。接下来值得盯三件事：dist-tag 权限是否会从默认关闭翻转为默认开启，符号库这类实验特性是否被主流模块采纳，以及各生态的无密钥签名是否会出现统一的可验证身份规范，而不是各自为政的签名者白名单。

🏷️ package management, mise, cosign, supply chain