概述
包发布的风险在于未测试、版本错位或缺可验证来源，而发布后又难以撤回。先完整测试与构建、有意提升版本、在 CI 中带来源发布，再从干净环境安装并冒烟，可确保对外产物确实可用且可追溯。
关键步骤
- 对要发布的包运行完整测试与构建。
- 有意提升版本并更新变更日志。
- 在 CI 中带来源与双因子发布。
- 从干净环境安装并运行冒烟导入。
验证
- 已发布版本可安装。
- 来源信息与 CI 构建一致。
- 冒烟测试可导入并调用。
- 发布有标签与版本记录。
决策点
发布应由 CI 带来源执行，本地手工发布缺来源且易错；坏版本应弃用而非撤销，撤销会破坏既有消费者。
适用范围
本条目围绕「包发布工作流」给出可复制的步骤、验证方式与常见问题，适合需要按此流程落地的工程团队。执行时请结合自身上下文调整命令与阈值，并在变更前后留存证据，便于后续复核与回滚。
建议在正式环境落地前先在预发或隔离环境演练一遍，把关键观测指标与负责人一并记录，确保出现异常时能快速定位并恢复。
npm publish --provenance --access public
# verify from a clean dir
mkdir /tmp/verify && cd /tmp/verify && npm init -y && npm i [email protected] && node -e "require('pkg')"