OIDC

Vercel 想消灭静态凭证，开发者却发现自家部署令牌还在

Vercel 的首席技术官 Malte Ubl 宣布，要清理平台上长期有效的 API 密钥，要求应用市场供应商在 2027 年 1 月前改用 OpenID Connect 这类短时、基于身份的令牌，否则可能被下架。背景是近来凭证窃取的供应链攻击频发，一个泄露的密钥就可能造成很大损失。但开发者很快指出，Vercel 自家的 GitHub Actions 部署指南仍要求使用长期有效的 VERCEL_TOKEN，公司自己也还没完全做到。对读者来说，这意味着 Vercel 的安全新规方向明确，但落地时间表和自家工具改造进度尚不清楚。