목표

GitHub Actions에서 태그 푸시 시 자동 npm 배포
npm 토큰 없이 Trusted Publisher(OIDC) 사용
보안 + 관리 편의성 확보

초기 설정

npm 쪽에서:

패키지 생성
Trusted Publisher 등록
- repo: owner/repo
- workflow: publish.yml

GitHub Actions:

permissions:
  contents: read
  id-token: write

- run: npm publish --access public

여기까지는 문서대로 진행.

발생한 문제

GitHub Actions에서 publish 시 아래 에러 발생:

npm notice publish Signed provenance statement...
npm notice Access token expired or revoked.
npm ERR! code E404
npm ERR! 404 Not Found - PUT <https://registry.npmjs.org/><package>

특이한 점:

로컬 publish는 정상
GitHub Actions에서만 실패
토큰 안 쓰는데도 "token expired" 에러 발생

처음에 의심한 것들

토큰 문제?

.npmrc 없음
GitHub Secrets에도 NPM_TOKEN 없음

아님.

Trusted Publisher 설정 문제?

repo 이름 일치
workflow 파일명 일치
owner 권한 정상

아님.

패키지 이름 충돌?

로컬 publish 정상

아님.

진짜 원인

npm CLI 버전 문제였다.

핵심 원인

Trusted Publishing(OIDC)은 비교적 최근 기능이라:

npm 10 이하 → 불완전
npm 11.5.1+ → 공식 지원

내 GitHub Actions 환경:

Node 22 → npm 10.x

즉,

OIDC 인증은 "부분적으로" 성공하지만
publish finalize 단계에서 실패
→ 토큰 fallback 시도
→ 토큰 없음
→ expired/revoked
→ 404로 표시

라는 아주 혼란스러운 흐름이었던 것.

해결 방법

기존

with:
  node-version: 22

수정

with:
  node-version: 24

22도 비교적 최근버전이라 생각해 버전이 문제될거라 생각하지 못했다..

배운 점

npm 에러 메시지는 믿지 말자

"token expired"가 떠도 진짜 토큰 문제 아닐 수 있음.

최신 기능 = 최신 런타임 필요

npm provenance / OIDC는 최신 Node/npm 기준으로 맞춰짐.

Trusted Publishing은 토큰보다 훨씬 편함

토큰 관리 필요 없음
보안 수준 높음
조직 프로젝트에 특히 좋음

결론

pm Trusted Publishing을 쓴다면
Node 24 이상을 기본값으로 쓰자.

이거 하나로

수 시간 디버깅을 아낄 수 있다.

GitHub Actions로 npm 자동 배포(Trusted Publishing) 설정하다가 404 에러 지옥에 빠진 이야기