go-tokenless

go-tokenless

NPM_TOKENを削除しましょう。 1つのコマンドで、GitHub Actionsでのnpm公開を信頼された公開（OIDC）に切り替えられます。長期間有効なトークンはどこにも保存されず、リリースごとに来歴バッジが付きます。

npmはトークンによる公開を終了します。2027年1月以降、トークン単独では公開できなくなります（npmのドキュメント）。

目次

• クイックスタート
• 変更内容
• サポート対象のリリース構成
• プライベートパッケージ
• CIでトークンレスを維持する
• AIエージェントで使用する
• オプション
• アクセスするもの
• 自分だけができること
• トラブルシューティング
• コントリビューション
• ライセンス

クイックスタート

npmに公開するリポジトリのルートから実行します。

npx go-tokenless          # 1. preview: lists every change and shows a diff, writes nothing
npx go-tokenless apply    # 2. edit the workflow and package.json files

その後、表示される次の手順に従います。変更をコミットし、npmでパッケージをワークフローに接続して、古いシークレットを削除します。Node 22.14以降が必要です。

変更内容

変更が必要な行だけを編集します。ワークフロー内のコメント、引用符、レイアウトはそのまま保持し、package.json では repository フィールドだけを編集します。書き込み前に、go-tokenless は両方のバージョンを再読み込みし、移行以外の変更がある場合は処理を中止します。

判断が必要な場合は、終了コード 1 で停止し、何も書き込みません。

• 外部のユーザーから実行可能な公開処理： pull_request_target、issue_comment、workflow_run などのトリガーで開始されるワークフローにある publish ジョブ。OIDC を付与すると、フォークから公開できてしまいます。
• セルフホストランナー： npm は信頼された公開に使用できるランナーとして受け付けません。
• 別のリポジトリを指す repository。
• YAML アンカー： 編集がほかのジョブにも及ぶ可能性があります。
• 公開コマンドが見つからない場合： npm トークンは渡されていますが、公開コマンドを特定できません。

ドライラン（npm publish --dry-run）は公開として扱われません。GitHub Packages に公開するステップと、GITHUB_TOKEN の値には手を加えません。

$ npx go-tokenless
go-tokenless: Ready to go tokenless. (acme/widgets)

Changes:
  .github/workflows/release.yml
    - publish: remove `NODE_AUTH_TOKEN` from job env
    - publish: grant `id-token: write`
    - publish: raise setup-node from Node 20 to 24 (trusted publishing needs Node 22.14+)
  package.json
    - widgets: add repository.url git+https://github.com/acme/widgets.git

Next:
  1. Run `npx go-tokenless apply` (or apply the diff above) and commit the changes on a branch.
  2. Add a trusted publisher for each package. With npm 11.15+ logged in with 2FA, run:
       npm trust github widgets --repo acme/widgets --file release.yml --allow-publish --yes
  3. Merge, then let the release workflow publish once. Check the new version shows a provenance badge.
  4. Delete the old publish token secret (`gh secret delete NPM_TOKEN`) and revoke the token on npmjs.com.

サポート対象のリリース構成

プライベートパッケージ

npm 組織のプライベートパッケージをインストールする必要がある場合は、インストールのステップに読み取り専用トークンを渡してください。公開ステップでは引き続きトークンを使いません。

npx go-tokenless apply --read-token NPM_READ_TOKEN

       - run: npm ci
+        env:
+          NODE_AUTH_TOKEN: ${{ secrets.NPM_READ_TOKEN }}
       - run: npm publish

リリースワークフロー内のすべてのインストールステップにトークンが設定されます。個別のビルドジョブやテストジョブも対象です。npmjs.com でパッケージへの読み取り専用アクセス権を持つ粒度の細かいトークンを作成し、gh secret set NPM_READ_TOKEN で保存してください。

CI でトークンなしの状態を維持する

Action を CI に追加してください。公開ワークフローにトークンが再び入り込むとジョブを失敗させ、ジョブのサマリーに具体的な修正内容を表示します。

# .github/workflows/ci.yml
jobs:
  tokenless:
    runs-on: ubuntu-latest
    permissions:
      contents: read
    steps:
      - uses: actions/checkout@v5
      - uses: continuous-actions/go-tokenless@v1
        # with:
        #   mode: report               # annotate only, never fail
        #   read-token: NPM_READ_TOKEN # if installs use a read-only token

go-tokenless --json を読み取り専用で実行し、トークンは必要ありません。status の出力は already-tokenless、ready、blocked、no-publish-workflow のいずれかです。

AI エージェントで使う

go-tokenless は、コーディングエージェントによる実行を想定して作られています。--json 出力、明確な終了コード、MCP サーバー、Agent Skill を備えています。エージェントに次のように依頼してください。「npm の公開をトラステッドパブリッシングに移行してください。」

{ "mcpServers": { "go-tokenless": { "command": "npx", "args": ["-y", "go-tokenless", "mcp"] } } }

MCP ツールは plan_trusted_publishing（読み取り専用）と apply_trusted_publishing（ファイルを書き込みます。git やネットワークへの書き込みは行いません）です。MCP Registry には io.github.continuous-actions/go-tokenless として掲載されています。llms.txt と Agent Skill も参照してください。

オプション

npx go-tokenless [plan | apply | mcp] [options]

終了コード：0 正常 · 1 ブロック（人による修正が必要） · 2 使用方法のエラー · 3 予期しないエラー。

アクセスする情報

• ファイル： 指定されたリポジトリ内の .github/workflows/*.yml、package.json ファイル、および関連スクリプトを読み取ります。apply と MCP ツールの apply_trusted_publishing が書き込むのは、そのリポジトリ内のワークフローファイルと package.json ファイルだけです。リポジトリ外へのリンクをたどることはありません。
• ネットワーク： 各パッケージがすでに存在するかを確認するため、https://registry.npmjs.org/<package> に読み取り専用の GET リクエストを送信します（--offline または MCP の offline: true で無効になります）。それ以外のデータを取得または送信することはありません。テレメトリもありません。
• 実行しないこと： リポジトリのコードを実行したり、シークレットや環境トークンを読み取ったり、変更を加える git コマンドを実行したり、ユーザーに代わって npm や GitHub に接続したりすることはありません。
• 実行方法： Claude Code プラグインと Gemini 拡張機能は、npx -y go-tokenless@<pinned version> mcp で MCP サーバーを起動します。

ユーザー自身でしか行えないこと

go-tokenless が npm アカウント、シークレット、git の履歴に触れることはありません。apply の実行後に、次の操作を行ってください。

1. 各パッケージをワークフローに接続する： 表示された npm trust github … コマンドを実行する（npm 11.15 以降。2FA が求められます）か、npmjs.com → package → Settings → Trusted publishing に移動します。
2. 新しいパッケージは、まず手動で一度公開する必要があります。npm が接続できるのは、すでに存在するパッケージのみです。該当するものはプランに表示されます。
3. 最初のトークンレスリリース後、古いシークレットを削除し、トークンを失効させます。

トラブルシューティング

各エラーの原因と解決方法を個別のページで確認できます：ENEEDAUTH、404 on PUT、E422 repository.url、トークンが引き続き使用される場合、2FA バイパスに関する通知。

コントリビューション

Issue とプルリクエストを歓迎します。corepack enable && yarn install && yarn check を実行してください（型チェック、ビルド、エンドツーエンドテストを行います）。コードの構成については AGENTS.md、脆弱性の報告については SECURITY.md をご覧ください。

ライセンス

MIT © continuous-actions