摘要：2026 年 9 月 30 日，GitHub 变更日志宣布 npm trusted publishing 新增一项可选权限：允许可信发布配置管理 dist-tag，例如把某个版本提升为 latest，或更新 next、beta 指针。这一步此前必须靠一个长期存在的 granular access token 完成，现在可以改用短时 OIDC 凭据。新权限默认关闭，新旧配置都不会自动获得。
如果你已经把 npm 发布迁到了 trusted publishing，大概遇到过这个尴尬：发版不用 token 了，但只要发完想改一个 tag，或者回滚后要把 latest 指回去，就得再翻出那个长期访问令牌。这个令牌不影响发布流程，却一直挂在账号里，成了一个纯粹为了"改指针"而存在的凭据。这次更新针对的正是这一步。
HiFox：将 Agent 变成真正的队友
另外，我们也在思考，AI 如何从个人提效走进团队协作。
HiFox 是一个让人和 AI Agent 在同一个工作现场协作的平台：你可以像给同事分派任务一样指派 Agent，在任务看板中跟踪进度、查看结果，让 Agent 成为团队里的队友。
👉 立即体验 HiFox：https://hifox.com
AI Coding 交流群
如果你也在用 AI 写代码，或者正在研究 Cursor、Claude Code 这些工具，
欢迎加入以下交流群。群里平时会聊一些 AI 编程的实际用法、开发工作流，还有各种新工具和新玩法。
