publish-harness

用途：为生成的 harness 执行完整发布流水线，即冒烟测试、witness 签名、npm 发布三阶段。\n\n主要能力：用 npm run build 构建；用 npm test 确认测试通过；调用 harness sign 生成新的 witness 清单；用 harness verify 确认清单可被接受；随后发布。默认 dry_run=true，仅运行 npm publish --dry-run 并报告 tarball 统计；dry_run=false 时运行真实的 npm publish --provenance --access public。\n\n使用方式：在 Codex 中调用 /publish-harness path=./my-harness，或加 dry_run=false 执行真实发布。等价 CLI：进入目录后依次运行 npm run build、npm test、harness sign、harness verify、npm publish --provenance --access public。\n\n必要环境变量：WITNESS_SIGNING_KEY，64 位十六进制字符的 ed25519 种子，可通过 harness secrets fetch WITNESS_SIGNING_KEY 从 GCP Secret Manager 获取；NPM_TOKEN，npm 仓库凭据，假定宿主机已设置，或通过 harness secrets fetch NPM_TOKEN 获取。\n\n适用场景：需要将 harness 发布到 npm 并在发布前完成签名校验的流程。\n\n限制与关联：建议先运行 validate-harness 作为发布就绪门禁；签名与发布令牌由 harness-secrets 管理。资料未提供更多细节，具体实现和版本要求暂未提供。