pi-helper-core 0.1.0 → 0.1.2

package/CHANGELOG.md

@@ -6,6 +6,18 @@ All notable changes are documented here. The format follows
 
 ## [Unreleased]
 
+## [0.1.2] - 2026-09-21
+
+### Fixed
+
+- `classifyCommand` no longer treats `--frozen`, `--locked`, or `--list` as read-only flags. They only pin inputs or request a listing, so a state-changing command they qualify (`uv sync --frozen`, `cargo build --locked`) was reported as `read`, which would let an environment mutation run without the opt-in its risk class requires. Only `--check`, `--dry-run`, and `--collect-only` remain universal safe overrides.
+
+## [0.1.1] - 2026-09-21
+
+### Changed
+
+- README documents the release procedure, including the constraint that made the first attempt fail: npm trusted publishing cannot create a package's first version, because a trusted publisher can only be configured on a package that already exists (`ENEEDAUTH`, npm/cli#8544). It also records the `actions/setup-node` `registry-url` gotcha, which writes an `_authToken` line that expands to empty and silently prevents the OIDC exchange.
+
 ## [0.1.0] - 2026-09-21
 
 ### Added

package/README.md

@@ -79,8 +79,36 @@ npm run typecheck
 npm run check         # test + typecheck + format:check + pack-check
 ```
 
+## 릴리스
+
+`package.json` 버전을 올리고 CHANGELOG를 옮긴 뒤 `v<version>` 태그를 푸시하면 `.github/workflows/publish.yml`이 npm provenance와 함께 배포합니다.
+
+### 최초 배포만 수동이어야 합니다 (중요)
+
+**npm Trusted Publishing(OIDC)은 패키지의 최초 버전을 만들 수 없습니다.** trusted publisher는 이미 존재하는 패키지에만 설정할 수 있기 때문에, 신규 패키지의 첫 배포는 OIDC로 실패하고 `ENEEDAUTH`가 나옵니다(npm/cli#8544, npm/documentation#1926). 이 오류는 인증 설정 오류처럼 보이지만 실제 원인은 그게 아닙니다.
+
+최초 1회만:
+
+1. `npm login` (패키지 소유자 계정)
+2. `npm publish --access public` — **provenance 없이** 올라갑니다
+3. npmjs.com → 패키지 → Settings → **Trusted Publisher** → GitHub Actions
+   - Organization or user: `wkqco33`
+   - Repository: `pi-helper-core`
+   - Workflow filename: `publish.yml` (경로가 아니라 파일명만, 대소문자 구분)
+   - Allowed actions: `npm publish`
+4. 이후 태그 푸시는 OIDC + provenance로 자동 배포됩니다
+
+부트스트랩 후에는 Settings → Publishing access에서 **"Require two-factor authentication and disallow tokens"**를 켜 두는 것이 권장됩니다.
+
+> 워크플로에 `actions/setup-node`의 `registry-url`을 쓰지 마세요. `_authToken=${NODE_AUTH_TOKEN}` 줄을 써 넣고, 토큰이 없을 때 빈 값으로 확장되어 **OIDC 대신 일반 인증을 시도**합니다(ENEEDAUTH/E404의 가장 흔한 원인).
+
 ## 상태
 
-- `0.1.0`, **아직 npm에 배포하지 않음**
+- `0.1.2`, npm에 배포됨(`latest`).
 - TypeScript 소스를 그대로 export합니다(`exports: "./src/index.ts"`). pi 확장 생태계가 TS를 직접 로드하므로 빌드 단계를 두지 않습니다.
-- 소비자: `pi-rust-helper`(파일럿) → 검증 후 `pi-ros-helper`, `pi-python-helper` 순으로 마이그레이션 예정
+- 소비자: `pi-rust-helper`(파일럿), `pi-ros-helper`, `pi-python-helper` 모두 `^0.1.1`을 의존한다(2026-09-21).
+  - `pi-python-helper`: envelope/runner/TDD/번들/증거/staleness/selection 이관 완료.
+  - `pi-ros-helper`: envelope/runner/TDD/증거 이관 완료.
+  - 알려진 seam 부족분은 `pi-rust-helper/DEVELOPMENT-PLAN.md`의 "R1 실현" 참고:
+    범용 안전 override(`--frozen`/`--locked`) 과다는 0.1.2에서 수정됨,
+    `summarizeValidation`의 고정 단계 형태, 바이너리 mtime staleness·CTest 타겟 선별 미지원은 남음.

package/package.json

@@ -1,15 +1,26 @@
 {
   "name": "pi-helper-core",
-  "version": "0.1.0",
+  "version": "0.1.2",
   "description": "Ecosystem-neutral core for pi language helper extensions: result envelope, bounded command runner, risk classification, completion gates, artifact staleness, and test selection",
   "type": "module",
   "license": "Apache-2.0",
-  "keywords": ["pi-package", "pi", "helper", "toolchain", "validation"],
+  "keywords": [
+    "pi-package",
+    "pi",
+    "helper",
+    "toolchain",
+    "validation"
+  ],
   "repository": {
     "type": "git",
     "url": "git+https://github.com/wkqco33/pi-helper-core.git"
   },
-  "files": ["src", "README.md", "LICENSE", "CHANGELOG.md"],
+  "files": [
+    "src",
+    "README.md",
+    "LICENSE",
+    "CHANGELOG.md"
+  ],
   "exports": {
     ".": "./src/index.ts"
   },

package/src/core/safety.ts

@@ -31,7 +31,11 @@ export interface SafetyRules {
 export const UNIVERSAL_SAFE_OVERRIDES: RegExp[] = [
   /\bgit\s+(?:diff|log|status|show|rev-parse|ls-files|cat-file|describe|rev-list)\b/,
   /\bgit\s+branch\s+--show-current\b/,
-  /(?:^|\s)--(?:check|dry-run|collect-only|list|frozen|locked)\b/,
+  // Only flags that describe the command itself (`--check`, `--dry-run`,
+  // `--collect-only`) make it read-only. `--frozen`/`--locked`/`--list` merely
+  // pin inputs or request a listing, so a state-changing command they qualify
+  // (for example `uv sync --frozen`) must keep its adapter-classified risk.
+  /(?:^|\s)--(?:check|dry-run|collect-only)\b/,
 ];
 
 /**