用途：把 npm 包从每次登录或维护长期 token，迁移到可审计的自动发布链，适用于新包首次发布与已有包持续发版。
主要能力：支持两种平级认证方式。oidc 使用 GitHub Actions trusted publishing，CI 免长期 token；bypass 使用本地 granular NPM_TOKEN 直接 npm publish。技能会先做只读审计，判断包名、版本、可见性、registry、仓库地址、包是否已存在、该版本是否已发布，以及状态属于 bootstrap_required、package_exists 还是 registry_unknown。
使用方式：先运行规划器做干跑审计：python3 "$SKILL_DIR/scripts/publish.py" PACKAGE_DIR --dry-run --json；确认后写入产物：python3 "$SKILL_DIR/scripts/publish.py" PACKAGE_DIR --write --json。oidc 模式生成无 token 工作流，仅授予 contents: read 与 id-token: write；bypass 模式不生成工作流，使用计划中的发布命令。发布前需确认版本未被占用、通过测试与构建、用 npm pack --dry-run --json 检查载荷。发布后独立回读验证：npm view PACKAGE@VERSION version --registry https://registry.npmjs.org。
限制：trusted publishing 无法为尚不存在的包名注册，首次引导需要一次交互式身份验证；registry 状态未知时必须停止发布；不存储任何凭据，不写入 NPM_TOKEN、OTP 等敏感值；不适用于 Agent Skill 发布或通用 CI/CD 场景。具体收费、价格与平台支持范围暂未提供。