# 发布到 npm / 上架插件市场
两条路是分开的：**npm 决定别人能不能一键装**，**awesome-dsh-plugin 决定它在市场里搜不搜得到**。
两者可以只做前者（GitHub 直装也能用），但要做进市场，通常两个都做。
---
## 一、npm
包名 `dsh-bili-jar` 目前**没人占**（`https://registry.npmjs.org/dsh-bili-jar` 返回 404）。
### 发布
**方式一：推 tag，GitHub Actions 自动发**（推荐，一次配好终身省事）
1. 在 npm 建一个 **Automation** token（classic 或 granular 都行，权限要 `read and write` 到包）
2. 仓库 → Settings → Secrets and variables → Actions → 新建 secret（名字 `NPM_TOKEN`；
如果已经叫 `DEEPSEEK_ONLY` 也不用改，工作流两个名字都认）
3. 发版：
```bash
pnpm check # 自检：文件齐不齐、有没有 NUL、体积是否异常
npm version patch # 或 minor / major，会自动打 tag
git push --follow-tags # 推 tag → 触发 .github/workflows/publish.yml
```
工作流会先跑自检、核对 `package.json` 的版本号和 tag 是否一致，再 `npm publish --provenance`。
> ⚠️ 推 `.github/workflows/*.yml` 需要 token 带 `workflow` 权限。当前这台机器的 gh 登录没有这个 scope，
> 所以这个文件**还没进仓库**（在 `.gitignore` 里）。两个办法二选一：
> `gh auth refresh -s workflow` 之后重新提交，或者直接在 GitHub 网页上新建这个文件。
>
> 工作流内容（点开复制）
>
> ```yaml
> # 推 v* tag 就发 npm —— 需要仓库里有一个能直接发布的 npm token
> #
> # 仓库里已有的 secret 名字叫 DEEPSEEK_ONLY，下面两个名字都认，
> # 所以不用改名（以后想规范就再加一个叫 NPM_TOKEN 的，优先用那个）。
> name: publish
>
> on:
> push:
> tags: ['v*']
>
> jobs:
> npm:
> runs-on: ubuntu-latest
> permissions:
> contents: read
> id-token: write # npm provenance
> steps:
> - uses: actions/checkout@v4
> - uses: actions/setup-node@v4
> with:
> node-version: '22'
> registry-url: 'https://registry.npmjs.org'
> - name: 自检
> run: node tools/pack-check.mjs
> - name: 版本号和 tag 对得上吗
> run: |
> PKG=$(node -p "require('./package.json').version")
> TAG=${GITHUB_REF_NAME#v}
> if [ "$PKG" != "$TAG" ]; then echo "package.json 是 $PKG，tag 是 $TAG"; exit 1; fi
> - name: 发布
> run: npm publish --access public --provenance
> env:
> NODE_AUTH_TOKEN: ${{ secrets.NPM_TOKEN || secrets.DEEPSEEK_ONLY }}
> ```
>
>