dsh-deepseek-theme-studio 0.1.1 → 0.1.3

package/README.md

@@ -395,3 +395,48 @@ window.dshThemeStudio.formatSelfCheck()
 
 `verify-tokens.mjs` 刻意比参考实现更严格：抓不到宿主 CSS 或运行实例时**非零退出**，
 不会像 `mux9056-bot/dsh-theme` 的 `verify:live` 那样在抓取失败后仍然打印"校验通过"。
+
+
+---
+
+## 发布（维护者）
+
+发布不需要任何 token、不需要验证码。npm 侧的凭据是通过 **trusted publishing（OIDC）** 建立的：
+`.github/workflows/publish.yml` 用一次性的、限定到本工作流的 OIDC 令牌换发布权，所以没有长期凭据可泄露、也没有东西需要轮换。
+
+流程就三步：
+
+```powershell
+# 1. 改版本号（构建会把版本号注入 lib/client.js，所以必须重新构建）
+node -e "const f='package.json',p=require('./'+f);p.version='0.1.2';require('fs').writeFileSync(f,JSON.stringify(p,null,2)+'\n')"
+node scripts/build.mjs
+
+# 2. 提交
+git add -A; git commit -m "Release 0.1.2"
+
+# 3. 打附注 tag 并推送（工作流由 tag 触发）
+git tag -a v0.1.2 -m "v0.1.2"
+git push origin main; git push origin v0.1.2
+```
+
+然后工作流会自动：校验 bundle 与 `src/` 同步 → 工厂冒烟测试 → 校验 tag 与 `package.json` 版本一致 → 发布并生成 SLSA provenance。
+
+**两个容易踩的坑**（都实际踩过）：
+
+- **必须重新构建再提交。** `scripts/build.mjs` 会把版本号写进 bundle（头部注释和 `createPluginBody({ version })`），只改 `package.json` 不动 bundle 会导致工作流第一步就失败 —— 这是门禁在起作用，不是 bug。
+- **必须用附注 tag（`git tag -a`），且显式推送 tag。** 轻量 tag 配 `git push --follow-tags` **不会**被推上去，工作流根本不会触发。
+
+### 首次发布为什么更麻烦
+
+新包没有包设置页，所以配不了 trusted publisher —— 得先有一次带 2FA 的发布把包建出来。当时用的是
+`npm stage publish` + 网页批准（分阶段发布对尚未存在的包会先发一个 `0.0.0-stage` 占位版本）。
+包一旦存在，就可以用下面这条命令配置 trusted publisher：
+
+```sh
+npm trust github <package> --file publish.yml --repository <owner>/<repo> --allow-publish -y
+```
+
+这条命令需要交互式 2FA：它会在浏览器里打开验证页（用安全密钥也行），**必须在真实终端里跑** ——
+管道或后台任务里没有 TTY，npm 会直接抛 `EOTP` 而不打开浏览器。
+
+配置好后用 `npm trust list <package>` 查看（同样需要 2FA）。

package/lib/client.js

@@ -1,5 +1,5 @@
 /*!
- * dsh-deepseek-theme-studio v0.1.1 — client bundle (GENERATED by scripts/build.mjs; edit src/ instead).
+ * dsh-deepseek-theme-studio v0.1.3 — client bundle (GENERATED by scripts/build.mjs; edit src/ instead).
  *
  * DeepSeek 官网视觉语言的 DSH Web 主题：毛玻璃 / 液化(流体) / 量子化(Q1-Q4)。
  *
@@ -5087,7 +5087,7 @@ function createPluginBody(ctx, options = {}) {
      */
     function apply(ctx) {
       if (typeof document === 'undefined' || typeof window === 'undefined') return
-      var body = createPluginBody(ctx, { version: '0.1.1' })
+      var body = createPluginBody(ctx, { version: '0.1.3' })
       if (ctx !== undefined && ctx !== null && typeof ctx.effect === 'function') {
         ctx.effect(() => {
           try {

package/lib/index.js

@@ -50,6 +50,20 @@ export function statePath() {
   return join(home, STATE_FILENAME)
 }
 
+/**
+ * Where the parameter file lives, in a form that is safe to put on the page.
+ *
+ * The absolute path embeds the local account name (`C:\Users\<name>\.dsh\…`),
+ * and this string is rendered in the settings row — from where it lands in
+ * every screenshot a user shares. `$DSH_HOME/…` says the same thing, is
+ * shorter, and carries nothing machine-specific. The real path is still used
+ * inside the process; it just never crosses the wire.
+ */
+export function displayPath() {
+  const home = process.env.DSH_HOME && process.env.DSH_HOME.length > 0 ? process.env.DSH_HOME : null
+  return home === null ? `~/.dsh/${STATE_FILENAME}` : `$DSH_HOME/${STATE_FILENAME}`
+}
+
 /**
  * Read the state object.
  *
@@ -258,7 +272,7 @@ async function handleApi(req, res, trustedHosts) {
   // GET is a convenience for humans and for `curl`; the client uses POST.
   if (req.method === 'GET') {
     const current = readState()
-    writeJson(res, 200, { ok: true, value: current.value, fileError: current.error, revision, path: statePath() })
+    writeJson(res, 200, { ok: true, value: current.value, fileError: current.error, revision, path: displayPath() })
     return
   }
   if (req.method !== 'POST') {
@@ -284,7 +298,7 @@ async function handleApi(req, res, trustedHosts) {
 
   if (payload.method === 'get') {
     const current = readState()
-    writeJson(res, 200, { ok: true, value: current.value, fileError: current.error, revision, path: statePath() })
+    writeJson(res, 200, { ok: true, value: current.value, fileError: current.error, revision, path: displayPath() })
     return
   }
 

package/package.json

@@ -1,6 +1,6 @@
 {
   "name": "dsh-deepseek-theme-studio",
-  "version": "0.1.1",
+  "version": "0.1.3",
   "description": "DeepSeek 官网视觉语言的 DSH Web 主题工作台：毛玻璃 / 液化(流体) / 量子化(Q1-Q4) 三类效果，全部参数可调、可持久化、可程序化调用。",
   "type": "module",
   "license": "MIT",
@@ -36,6 +36,7 @@
     },
     "manifestVersion": 1,
     "compatibility": {
+      "dsh": ">=0.2.0-rc.2 <0.3.0-0",
       "dshReleases": {
         "0.2.0-rc.2": "compatible"
       }
@@ -54,7 +55,8 @@
     "verify": "node scripts/build.mjs --check && node scripts/verify-tokens.mjs"
   },
   "engines": {
-    "node": ">=18"
+    "node": ">=18",
+    "dsh": ">=0.2.0-rc.2 <0.3.0-0"
   },
   "repository": {
     "type": "git",