用途：为 npm 包项目落地“push v* 标签→自动发布到 npmjs”的发布工作流。认证使用 npmjs.com 的 Trusted Publisher（OIDC），workflow 内无需 token 或 secret，并自动生成 provenance。技能提供两套发布流：直接流（tag push 即发布，默认）与暂存流（CI 暂存，维护者本地 npm stage approve 并 2FA 放行），按仓库约定选用。
主要能力：核对项目 package.json、仓库可见性与 npm 是否已存在该包；确认发布方式；指导用户在 npmjs.com 配置 Trusted Publisher；按模板生成 .github/workflows/publish.yml；本地验证与一次 tag push 演练；依据 semver 三问确定版本档位并 bump；撰写分类整理的 Release Notes；最后将发布约定沉淀到 AGENTS.md。
使用方式：按步骤先摸底再执行，每步用命令实际输出核对。命令与旗标只取自技能正文及其模板、troubleshooting 文件。不可逆操作（git push --tags、npm publish、npm stage approve）前须向用户复述并取得当轮授权。暂存流后续由用户执行 npm stage approve <stage-id> 或 npm stage reject <stage-id>。
限制与注意：Trusted Publisher 需用户在 npmjs.com 手动配置，且包必须已存在于 registry、仓库公开；workflow 文件名必须与绑定一致，直接流需勾选 Allow npm publish，否则 401/403。暂存流需 npm 11.15.0+，直接流无此门槛（provenance 需 npm 9.5.0+）。模板默认 Node 24、ubuntu-latest。遇报错应先查 troubleshooting，不要凭经验改旗标重试。其他细节如具体定价、支持平台暂未提供。