aaden-cli 1.6.102 → 1.6.103-rc.2

package/.github/workflows/publish.yml

@@ -0,0 +1,97 @@
+name: Publish to npm
+
+# 推 tag 后发布到 npm，走 npm Trusted Publishing（OIDC）：不需要 npm token，也不需要 OTP。
+# npmjs.com 上 aaden-cli 的 Trusted Publisher 必须登记这个文件名（publish.yml）并允许 npm publish，改名要同步改那边。
+#
+# - `x.y.z`（`npm run update` 打的）→ npm `latest`。
+#   ⚠️ 全网约 650 台设备每天 04:55 `npm install aaden-cli -g` 装 latest：发出去就等于全网发布。
+# - `x.y.z-任意后缀`（如 1.6.103-rc.0，任何分支都可以打）→ npm `next`，设备不会自动装。
+#   用来灰度：在某台设备上 `sudo npm i -g aaden-cli@next` 先试；那台设备第二天 04:55 会自己回到 latest。
+on:
+  push:
+    tags:
+      - '[0-9]+.[0-9]+.[0-9]+'
+      - '[0-9]+.[0-9]+.[0-9]+-*'
+
+permissions:
+  contents: write # 发布成功后建 GitHub Release
+  id-token: write # Trusted Publishing 用 OIDC 换发布权限
+
+concurrency:
+  group: npm-publish
+  cancel-in-progress: false
+
+jobs:
+  publish:
+    runs-on: ubuntu-latest
+    steps:
+      - uses: actions/checkout@v6
+        with:
+          fetch-depth: 0
+
+      - uses: actions/setup-node@v6
+        with:
+          node-version: '24'
+          registry-url: 'https://registry.npmjs.org'
+          package-manager-cache: false
+
+      - name: 决定发布渠道
+        id: channel
+        run: |
+          if [[ "$GITHUB_REF_NAME" == *-* ]]; then
+            echo "dist_tag=next" >> "$GITHUB_OUTPUT"
+          else
+            echo "dist_tag=latest" >> "$GITHUB_OUTPUT"
+          fi
+
+      - name: 校验 tag（latest）
+        if: steps.channel.outputs.dist_tag == 'latest'
+        run: |
+          VERSION=$(node -p "require('./package.json').version")
+          if [ "$GITHUB_REF_NAME" != "$VERSION" ]; then
+            echo "::error::tag $GITHUB_REF_NAME 和 package.json 的版本 $VERSION 不一致"
+            exit 1
+          fi
+          # 只发 master 上的提交：从别的分支推个 tag 不能直接发到全网
+          if ! git merge-base --is-ancestor "$GITHUB_SHA" origin/master; then
+            echo "::error::tag $GITHUB_REF_NAME 指向的提交不在 master 上"
+            exit 1
+          fi
+
+      # 预发布的版本号以 tag 为准，不用为了灰度去提交一次版本号
+      - name: 写入预发布版本号（next）
+        if: steps.channel.outputs.dist_tag == 'next'
+        run: npm version "$GITHUB_REF_NAME" --no-git-tag-version
+
+      - run: npm ci
+
+      - name: 打包
+        run: npx ncc build index.js -o dist -C
+
+      - name: 冒烟检查
+        run: |
+          OUT=$(node dist/index.js --version | tail -n 1)
+          if [ "$OUT" != "$GITHUB_REF_NAME" ]; then
+            echo "::error::dist/index.js --version 输出「$OUT」，期望 $GITHUB_REF_NAME"
+            exit 1
+          fi
+          npm pack --dry-run 2>&1 | grep -q 'dist/index.js' || {
+            echo "::error::npm 包里没有 dist/index.js"
+            exit 1
+          }
+
+      # 私有仓库不支持 provenance，显式关掉免得 publish 失败
+      - name: 发布到 npm
+        env:
+          NPM_CONFIG_PROVENANCE: 'false'
+        run: npm publish --tag "${{ steps.channel.outputs.dist_tag }}"
+
+      - name: GitHub Release
+        if: steps.channel.outputs.dist_tag == 'latest'
+        env:
+          GH_TOKEN: ${{ github.token }}
+        run: |
+          gh release create "$GITHUB_REF_NAME" \
+            --title "aaden-cli: release v$GITHUB_REF_NAME" \
+            --generate-notes \
+            --verify-tag

package/README.md

@@ -35,3 +35,23 @@ Commands:
   help [command]                          display help for command
 
 ```
+
+## 发布
+
+1. 在 master 上运行 `npm run update`：release-it 把版本号升一个 patch，提交 `aaden-cli: release vX.Y.Z`，打 tag `X.Y.Z` 并推上去。本地不再发布 npm。
+   要在普通 clone 里运行：release-it 13 认不出 `git worktree`，在 worktree 里只会改版本号，不会提交、打 tag。
+2. tag 推上去后，GitHub Actions 的 `.github/workflows/publish.yml` 自动执行：
+   - 校验 tag 和 `package.json` 的版本一致，并且 tag 指向的提交在 master 上；
+   - 从这个 tag 对应的提交 `npm ci` 并用 ncc 打包，冒烟检查 `dist/index.js --version`；
+   - 用 npm Trusted Publishing（OIDC）执行 `npm publish`，不需要 npm token 或 OTP；
+   - 创建 GitHub Release。
+3. 全网设备在第二天 04:55 自动 `npm install aaden-cli -g` 装上新版本。
+
+⚠️ `latest` 一发布就是全网发布。要先在个别设备上试，用预发布通道：
+
+- 在任意分支的提交上打 `x.y.z-后缀` 形式的 tag（如 `1.6.103-rc.0`）并推上去，CI 会把这个提交按 tag 的版本号发到 npm 的 `next`（不需要提交版本号）。
+- 设备每天只装 `latest`，不会自动装 `next`。要试的设备上手动运行 `sudo npm i -g aaden-cli@next`；这台设备第二天 04:55 会自动回到 `latest`。
+
+CI 发布失败时的手动兜底：在 tag 对应的提交上运行 `npx ncc build index.js -o dist -C && npm publish`（需要 npm 2FA）。
+
+一次性配置：npmjs.com → aaden-cli → Settings → Trusted Publisher → GitHub Actions，填组织 `innerken-gmbh`、仓库 `aaden-cli`、workflow `publish.yml`；允许的操作要勾上 `npm publish`（2026-09-03 之后新建的配置默认只允许 `npm stage publish`，直接 publish 会报 403 "OIDC permission denied for this action"）。

package/dist/index.js

@@ -18577,7 +18577,7 @@ module.exports = JSON.parse('{"name":"axios","version":"0.19.2","description":"P
 /***/ ((module) => {
 
 "use strict";
-module.exports = {"i8":"1.6.102"};
+module.exports = JSON.parse('{"i8":"1.6.103-rc.2"}');
 
 /***/ })
 

package/package.json

@@ -1,6 +1,6 @@
 {
   "name": "aaden-cli",
-  "version": "1.6.102",
+  "version": "1.6.103-rc.2",
   "description": "",
   "main": "dist/index.js",
   "scripts": {
@@ -21,7 +21,12 @@
     "hooks": {
       "after:bump": "ncc build index.js -o dist -C"
     },
-    "github.release": true,
+    "npm": {
+      "publish": false
+    },
+    "github": {
+      "release": false
+    },
     "git": {
       "commitMessage": "aaden-cli: release v${version}",
       "requireCleanWorkingDir": false