Merge pull request #2 from joyang1/codex/real-gpt-trace

[codex] add GitHub Actions npm publish workflow

Author: joyang1

.github/workflows/publish.yml

@@ -0,0 +1,38 @@
+name: Publish Package
+
+on:
+  workflow_dispatch:
+  push:
+    tags:
+      - "v*"
+
+permissions:
+  contents: read
+  id-token: write
+
+jobs:
+  publish:
+    if: github.ref == 'refs/heads/main' || startsWith(github.ref, 'refs/tags/v')
+    runs-on: ubuntu-latest
+
+    steps:
+      - name: Checkout
+        uses: actions/checkout@v4
+
+      - name: Setup Node.js
+        uses: actions/setup-node@v4
+        with:
+          node-version: "24"
+          registry-url: "https://registry.npmjs.org"
+
+      - name: Install dependencies
+        run: npm ci
+
+      - name: Run tests
+        run: npm test --silent
+
+      - name: Check publish tarball
+        run: npm pack --dry-run
+
+      - name: Publish to npm
+        run: npm publish --access public

CONTRIBUTING.md

@@ -107,13 +107,36 @@ PR 标题建议：
 
 ## Release Flow
 
-发布前建议按顺序执行：
+默认推荐用 GitHub Actions 发布，而不是本地发布。
+
+### GitHub Actions Release
+
+1. 确保默认分支已经包含：
+   - `.github/workflows/publish.yml`
+2. 在 npm 包设置中配置 Trusted Publisher：
+   - GitHub user/org: `joyang1`
+   - repository: `codex-viewer`
+   - workflow filename: `publish.yml`
+3. 在 `main` 上创建并推送版本 tag：
+
+```bash
+git checkout main
+git pull
+git tag v0.4.0
+git push origin main --tags
+```
+
+4. 等待 GitHub Actions 完成发布
+
+### Local Fallback Release
+
+如果必须本地发布，再执行：
 
 ```bash
 npm whoami
 npm test
 npm run pack:check
-npm publish --access public
+npm publish --access public --otp=<6-digit-code>
 ```
 
-如果账号启用了 2FA，发布时需要补 `--otp=<code>`。
+如果账号启用了 2FA，本地发布必须补 `--otp=<code>`。

README.md

@@ -180,13 +180,54 @@ npm run pack:check
 
 ## 发布到 npm
 
-项目已经准备成可直接发布的 npm CLI 包。正式发布前，建议按下面顺序执行：
+项目已经准备成可直接发布的 npm CLI 包。推荐使用 GitHub Actions + npm Trusted Publishing 来发布，而不是在本地执行 `npm publish`。
+
+### 推荐发布方式：GitHub Actions
+
+仓库已包含工作流：
+
+- [`publish.yml`](./.github/workflows/publish.yml)
+
+工作流会在以下场景触发：
+
+- 手动触发 `workflow_dispatch`
+- 推送 `v*` tag，例如 `v0.4.0`
+
+发布前需要先在 npm 包设置里配置 Trusted Publisher：
+
+1. 打开 npm 上的包设置页面
+2. 进入 `Trusted Publisher`
+3. 选择 `GitHub Actions`
+4. 填入：
+   - GitHub user/org: `joyang1`
+   - repository: `codex-viewer`
+   - workflow filename: `publish.yml`
+
+之后推荐这样发布：
+
+```bash
+git checkout main
+git pull
+git tag v0.4.0
+git push origin main --tags
+```
+
+工作流会自动执行：
+
+- `npm ci`
+- `npm test --silent`
+- `npm pack --dry-run`
+- `npm publish --access public`
+
+### 本地发布方式
+
+如果你临时仍要从本地发布，建议按下面顺序执行：
 
 ```bash
 npm login
 npm whoami
 npm run pack:check
-npm publish --access public
+npm publish --access public --otp=<6-digit-code>
 ```
 
 当前仓库默认使用作用域包名：