npm 12.2 与 pnpm 12.9：发布管道的凭据与权限收紧

2026 年 9 月底至 10 月初，npm 12.2.0 与 pnpm 12.9 相继发布。npm 侧让 dist-tag 支持 OIDC 认证，GitHub trusted publishing 新增默认关闭的 dist-tag 权限；pnpm 侧修复 pnpm login 在重定向时转发凭据的问题，新增 per-registry networkConcurrency，并在打包前警告 .env 进入 tarball。本文梳理发布管道安全相关变更、升级建议与供应链安全背景。