npm OIDC 发布配置检查

原名：npm-trusted-publishing

核对 GitHub Actions 与 npm 可信发布，整理认证错误和迁移方案。

中文 Skills 技能说明

包发布出现认证或仓库字段错误时，可检查是否适合改用可信发布。提供获准 npm 包、GitHub 仓库、工作流、版本与脱敏日志，技能整理 OIDC、发布者配置、权限和来源证明的核对项，交付流程草稿与验证方案。需要自有账号及平台当前支持的运行环境，政策日期和工具版本应实时核对，技能不授予包管理权限。密钥不写入仓库，旧令牌不要在新流程验证前直接撤销；新增发布者、轮换凭据和真实发布须负责人批准。

上游能力依据

上游原始适用说明：Set up or fix npm trusted publishing (OIDC) in GitHub Actions and remove NPMTOKEN. Use for ENEEDAUTH, E404 on PUT, E422 repository.url, or migrating off 2FA-bypass tokens before January 2027.

上游 SKILL.md 主要章节（保留原文标题）：

When to Use This Skill
Checklist (all must hold)
Security Rules
Error Guide
Example
Automating It
Limitations

使用边界

先读取项目约定、依赖版本和现有测试，再提出最小改动。写文件、运行脚本、提交代码或发布前应检查差异并保留回退路径。

作者、翻译与许可证

原作者: GitHub, Inc. 与 awesome-copilot contributors
中文翻译: CEOFans翻译
许可证: MIT
上游来源: https://github.com/github/awesome-copilot/tree/d85f762d6e521abf5fe16703946e9b38adc42da7/skills/npm-trusted-publishing

适用范围

平台：linux、macos、windows；标签：代码协作、npm OIDC 发布配置检查、开源技能

安全提示

基础静态扫描不等于绝对安全。技能可能调用命令、浏览器、云服务或本地文件，请在最小权限环境中使用，高风险操作必须人工确认。

如发现侵权、许可证或安全问题，可在本页前台提交投诉，管理员复核后可立即下架。