@viccydev/pi-fpa 0.4.0 → 0.4.1

package/README.md

@@ -110,20 +110,22 @@ pi list
 团队分发建议使用固定 Git tag：
 
 ```bash
-pi install git:github.com/linyqh/pi-fpa@v0.3.2
+pi install git:github.com/linyqh/pi-fpa@v0.4.1
 ```
 
 ## 发布到 npm
 
-发布动作由 GitHub Release 触发。Release 标签必须严格使用 `v<package.json version>`，例如版本 `0.4.0` 对应 `v0.4.0`。工作流会检出该标签，执行 `npm ci`、`npm test` 和包内容预检，全部通过后发布公开包 `@viccydev/pi-fpa`。普通 Release 发布到 `latest`，Prerelease 发布到 `next`。
+发布动作由 GitHub Release 触发。Release 标签必须严格使用 `v<package.json version>`，例如版本 `0.4.1` 对应 `v0.4.1`。工作流会检出该标签，执行 `npm ci`、`npm test` 和包内容预检，全部通过后发布公开包 `@viccydev/pi-fpa`。普通 Release 发布到 `latest`，Prerelease 发布到 `next`。
 
-首次发布前需要完成一次仓库配置：
+发布认证使用 npm Trusted Publishing / OIDC，不使用长期 npm Token。npm 包后台的 Trusted Publisher 配置为：
 
-1. 确认 npm 账号或组织拥有 `@viccydev` scope。
-2. 在 GitHub 仓库的 Actions secrets 中创建 `NPM_TOKEN`。Token 需要允许发布该 scope，并允许 CI 绕过发布时的 2FA。
-3. 将仓库推送到 GitHub，然后创建与 `package.json` 版本匹配的 GitHub Release。
+1. Provider：GitHub Actions。
+2. Organization or user：`linyqh`。
+3. Repository：`pi-fpa`。
+4. Workflow filename：`publish.yml`。
+5. Allowed actions：`npm publish`。
 
-首发成功后，建议到 npm 包设置中将 Trusted Publisher 配置为 GitHub Actions；GitHub 用户填写 `linyqh`，仓库填写 `pi-fpa`，工作流文件填写 `publish.yml`，Allowed actions 选择 `npm publish`。验证 OIDC 发布成功后即可删除长期 `NPM_TOKEN`。当前许可证仍是 `UNLICENSED`；若准备让第三方使用或修改本包，应在首发前明确许可证。
+工作流必须保留 `permissions.id-token: write`，并使用满足 npm Trusted Publishing 最低版本要求的 Node/npm；不要重新添加 `NPM_TOKEN` 或 `NODE_AUTH_TOKEN`。当前 GitHub 仓库为 private，OIDC 发布可用，但 npm 不会生成 provenance。当前许可证仍是 `UNLICENSED`；若准备让第三方使用或修改本包，应先明确许可证。
 
 ## 使用
 

package/package.json

@@ -1,6 +1,6 @@
 {
   "name": "@viccydev/pi-fpa",
-  "version": "0.4.0",
+  "version": "0.4.1",
   "type": "module",
   "description": "Full-cycle FP&A planning, strategy, forecast, and review prompts, skills, and data tools for Pi",
   "license": "UNLICENSED",