lov-npm-publisher

把 npm 包从“每次登录或维护长期 token”迁移到可审计的自动发布链。支持两种平级的认证方式：

• oidc — GitHub Actions trusted publishing，CI 免长期 token（推荐给 GitHub 仓库的持续发版）；
• bypass — 本地 granular NPM_TOKEN，直接 npm publish（适合本地快速发布、无 CI 的包）。

输出必须区分首次引导、认证配置、发布执行和 registry 回读，不能把工作流生成等同于已经发布。

Triggers

Activate when

• 用户说“自动发布 npm 包”“发布新 npm 包但不要每次登录”“把 npm 发版改成 GitHub Actions”。
• 用户说“用 NPM_TOKEN 本地发布这个包”“publish this npm package locally without login”。
• User says “publish npm without login”, “automate npm releases”, or “set up tokenless npm publishing”.
• 用户需要批量判断包是否首次发布、选择 OIDC 还是 NPM_TOKEN，或验证发版是否真的上线。

Do not activate when