git-ai-control 0.3.1 → 0.4.0

package/CHANGELOG.md

@@ -2,6 +2,19 @@
 
 本项目的所有重要变更都会记录在此文件中。
 
+## [0.4.0] - 2026-07-30
+
+### 新增
+
+- 新增 Git 标签触发的 npm Trusted Publishing 工作流；
+- 发布前在 macOS、Linux 和 Windows 上验证同一份源码，并校验标签与 `package.json` 版本一致；
+- npm 发布使用 GitHub Actions OIDC 短期凭据，不再需要长期 npm Access Token。
+
+### 变更
+
+- 前端静态资源在每个工作流中只构建一次，三平台矩阵只验证平台相关运行时；
+- GitHub Actions 升级到 Node.js 24 运行时版本。
+
 ## [0.3.1] - 2026-07-30
 
 ### 修复

package/README.md

@@ -179,6 +179,17 @@ npm run check
 
 新增插件类型时，请为它设计独立的数据结构和配置表单；不要复用仓库插件表单来表达无关能力。涉及上报兼容性时，应基于实际 Git AI 版本和请求路径验证，避免把“页面可配置”误写成“运行时已接管”。
 
+## 发布
+
+项目只发布一个跨平台 npm 包，不分别生成 macOS、Linux 或 Windows 安装包。推送与 `package.json` 版本一致的 Git 标签后，GitHub Actions 会：
+
+1. 在 macOS、Ubuntu 和 Windows 上检查同一份安装器与运行时源码；
+2. 在 Ubuntu 上只构建一次前端静态资源；
+3. 确认构建产物与仓库内容一致；
+4. 通过 npm Trusted Publishing（OIDC）发布到 npmjs.com。
+
+发布工作流不使用长期 npm Access Token。npm 包需要将 `.github/workflows/publish.yml` 配置为可信发布者。
+
 ## 安全边界
 
 - Web 服务只绑定本机回环地址；

package/package.json

@@ -1,6 +1,6 @@
 {
   "name": "git-ai-control",
-  "version": "0.3.1",
+  "version": "0.4.0",
   "description": "Git AI 本地配置与上传隐私控制面板",
   "type": "module",
   "bin": {
@@ -40,5 +40,9 @@
   "homepage": "https://github.com/yingyanzhitong/git-ai-control#readme",
   "bugs": {
     "url": "https://github.com/yingyanzhitong/git-ai-control/issues"
+  },
+  "publishConfig": {
+    "access": "public",
+    "registry": "https://registry.npmjs.org/"
   }
 }

package/scripts/check.mjs

@@ -42,6 +42,7 @@ for (const file of [
   "scripts/install.mjs",
   "scripts/platform-services.mjs",
   "scripts/uninstall.mjs",
+  "scripts/verify-release.mjs",
 ]) {
   if (!run(process.execPath, ["--check", file])) {
     process.exit(1)

package/scripts/verify-release.mjs

@@ -0,0 +1,19 @@
+import fs from "node:fs"
+
+const tag = process.argv[2]
+const packageJson = JSON.parse(
+  fs.readFileSync(new URL("../package.json", import.meta.url), "utf8"),
+)
+const expectedTag = `v${packageJson.version}`
+
+if (!tag) {
+  console.error("缺少版本标签")
+  process.exit(1)
+}
+
+if (tag !== expectedTag) {
+  console.error(`版本标签 ${tag} 与 package.json ${packageJson.version} 不一致`)
+  process.exit(1)
+}
+
+console.log(`发布版本校验通过：${packageJson.name}@${packageJson.version}`)