用途：审计并改进 npm 包发布的整体安全态势，基于 e18e 发布指南提炼可执行步骤，覆盖账户安全、npm 可信发布（OIDC）策略、GitHub 仓库加固、令牌管理与发布工作流。
主要能力：先检查仓库再建议改动，读取 package.json、锁文件与 packageManager、.npmrc 与 .yarnrc.yml、.github/workflows/*、Changesets/changelogithub/semantic-release/release-it 等发布工具，以及工作流中的 NODE_AUTH_TOKEN 用法。按请求分类为审计（按严重级别报告风险并给文件行号）、实施（做限定范围改动并跑校验）、策略（说明取舍并标出仅用户可操作的设置）。审计输出按 P0/P1/P2/P3 排序，含风险、修复建议、能否代做、验证结果与剩余用户清单。
必要用法：区分代理可做与仅用户可做。代理可编辑工作流、更新包管理器配置、在采用可信发布时移除 publish 步骤中的 NODE_AUTH_TOKEN、添加 Dependabot/Renovate 配置、运行 publint、工作流 lint、测试与构建。用户需自行启用 npm/GitHub 2FA、在 npmjs.com 配置可信发布者、设置发布需 2FA 且禁用令牌、启用 GitHub Actions 限制、配置分支/标签规则与不可变发布、删除仓库密钥。基础模板可 npx @e18e/setup-publish 脚手架，工作流须分离 test→build→publish，所有 action 固定完整 commit SHA，顶层最小权限（如 contents: read），checkout 设 persist-credentials: false，安装用 --ignore-scripts，并在 .npmrc 设 ignore-scripts=true。npm 可信发布要求 npm CLI ≥ 11.5.1，Node.js 22.14.0 及以上需先 npm i -g npm。发布可 git tag v1.0.0 后推送并创建 Release 触发；也可用 Changesets 或 changelogithub。维护可用 npx actions-up、zizmor .github/workflows/publish.yml、npx publint。
限制：不得向 publish 步骤添加 NODE_AUTH_TOKEN，不用长期 npm 令牌，不用标签引用代替 SHA，不声称未验证的账户设置已完成。具体要求与最低版本须查当前官方 npm 与 GitHub 文档。仅维护者场景下环境级 2FA 尚未支持，存在风险。具体收费、平台支持范围等资料暂未提供。