dsh-sidenote 0.4.2 → 0.4.4

package/README.md

@@ -33,7 +33,7 @@ dsh plugin --profile web add dsh-sidenote
 
 从当前主会话 **fork**（全量历史快照，不压缩）出独立侧边会话，在右侧栏多轮对话：
 
-- 顶栏「侧边」按钮 / `+` 菜单 / 斜杠命令 `/side` 三个入口，多实例并存；
+- 顶栏「侧边」按钮 / 右侧栏 guide / 斜杠命令 `/side` 三个入口；
 - 与主对话**同一套渲染材质**：工具卡、思考预览、任务卡、模型/权限切换、`@` 引用、图片附件；
 - 审批/提问**在面板内直接答复**，不用跳回主视图；跑完有 toast 通知；
 - 继承历史默认折叠成指示卡；折叠态/滚动位置刷新不丢；`Alt+J` 主↔侧切焦点。
@@ -93,12 +93,38 @@ dsh plugin --profile web add dsh-sidenote
 | 命令 | 说明 |
 |---|---|
 | `pnpm typecheck` | tsc --noEmit |
-| `pnpm test` | vitest 单测（136 例） |
+| `pnpm test` | vitest 单测（222 例） |
 | `pnpm build` | 类型声明 + tsdown（host ESM + client CJS bundle，纯度门） |
 | `pnpm test:mount` | 挂载冒烟：真实 `dsh web` + 伪造会话日志 + Playwright 十条 journey lane（`BS_VERSION`/`DSH_CMD` 切版本矩阵） |
 
 问题与建议欢迎 [Issue](https://github.com/g-yixuan/dsh-sidenote/issues)。
 
+## 发版
+
+发布走 [npm Trusted Publishing](https://docs.npmjs.com/trusted-publishers)（OIDC）：**不需要 npm token，不需要 OTP，本地不需要登录 npm**。`.github/workflows/release.yml` 拿 GitHub Actions 的 OIDC 身份直接换发布权限，并附 SLSA provenance。
+
+> **触发条件是「发布一个 GitHub Release」，不是推 tag。**
+> 只 `git push --tags` 不会发布任何东西——tag 会静静躺在那里。
+
+```bash
+# 1. 改 package.json 的 version，提交
+git commit -am "release: vX.Y.Z——<摘要>"
+
+# 2. 打 tag 并推送（这一步还没有发布）
+git tag vX.Y.Z && git push origin main --tags
+
+# 3. 创建 GitHub Release —— 这一步才真正触发发布
+gh release create vX.Y.Z --title "vX.Y.Z — <标题>" --notes-file <notes.md>
+```
+
+workflow 随后自动跑 build → typecheck → test → `pnpm publish --provenance`，并校验 tag 与 `package.json` 版本一致（不一致直接失败）。
+
+几个已知的坑：
+
+- **registry 有复制延迟**：workflow 显示 `✅ Published` 后，`npm view` 仍可能有 1–5 分钟看到旧版本（Fastly `max-age=300`）。以 workflow 日志为准，不要据此判断失败而重试。
+- **别去折腾 npm token**：npm 正在[系统性废止 bypass-2FA 的 granular token](https://github.blog/changelog/2026-07-31-restricting-npm-bypass-2fa-granular-access-tokens/)。本仓库不依赖任何 token，发布失败请先看 workflow 日志，而不是 token 配置。
+- **CI 的 `plugin-mount` lane 失败不阻塞发版**：那是独立 workflow，Release 流程只跑单测，不跑 e2e。
+
 ## License
 
 MIT

package/cordis.patch.yml

@@ -8,9 +8,10 @@
 # — appends this single `insert` (one plugin row) to the bundle stack. No
 # manual profile edits.
 #
-# dsh-sidenote requires dsh-better-sidebar as a hard peer dependency: the
-# client half declares `inject = ['betterSidebar', ...]`, so it stays inactive
-# (no UI, no behavior) until better-sidebar provides the service.
+# dsh-better-sidebar is an OPTIONAL peer (see peerDependenciesMeta), not a hard
+# dependency: the native leg registers straight against the host's
+# `sidebarRightTabs` service and works on a host with no better-sidebar at all.
+# The frozen legacy leg registers only when better-sidebar >=0.12.0 shows up.
 - insert:
     - id: side-chat
       name: 'dsh-sidenote'