democut 0.6.1 → 0.6.17

This diff represents the content of publicly available package versions that have been released to one of the supported registries. The information contained in this diff is provided for informational purposes only and reflects changes between package versions as they appear in their respective public registries.
Files changed (3) hide show
  1. package/README.md +8 -4
  2. package/dist/cli.js +3424 -1078
  3. package/package.json +3 -2
package/README.md CHANGED
@@ -224,10 +224,14 @@ SSOT 는 `apps/api/app/mcp/auth.py` docstring.
224
224
  promote(사람이 누르는 버튼) → npm-publish-cli → deploy-dgx
225
225
  ```
226
226
 
227
- 게시본에는 **sigstore provenance 서명**이 붙는다 — npmjs.com 의 패키지 페이지에서
228
- "Provenance" 배지로 "이 레포의 이 파이프라인이 만들었다" 를 확인할 수 있다.
229
- ⚠️ 서명은 **fail-soft** 다: sigstore·OIDC 장애 시 경고를 남기고 서명 없이 게시한다
230
- (외부 서비스 장애가 프로덕션 배포를 막지 않게). 그 릴리스에는 배지가 없다.
227
+ 게시는 **trusted publishing(OIDC)** 으로 한다 — 장수명 토큰 없이 CI 가 짧은 수명 자격증명으로
228
+ 게시한다. npm 이 2027-01 부터 2FA 우회 토큰의 직접 publish 를 막기 때문이고, 그래서 CI 의 node
229
+ 이미지가 24 다(OIDC 는 npm 11.5.1+ 요구).
230
+
231
+ ⚠️ 게시본에는 **sigstore provenance 서명이 붙지 않는다.** npm 은 소스 저장소가 **공개**일
232
+ 때만 서명을 받아 주는데(2026-09-03 실측: `422 … Unsupported GitLab CI source repository
233
+ visibility: "private"`) 이 레포는 private 이다. CI 설정으로 우회할 수 있는 문제가 아니라
234
+ 배선을 걷어냈다 — 자세한 사정과 되살리는 절차는 `scripts/ci-npm-publish.sh` 머리말에 있다.
231
235
 
232
236
  `deploy-dgx` 가 게시 성공을 `needs` 로 요구하므로, **게시가 실패하면 문서가 프로덕션에
233
237
  나가지 않는다.** `/docs/agents` 가 아직 없는 패키지를 안내하는 창이 구조적으로 열리지 않는다