feat(release): GH Actions 自动 npm publish
加 publish-npm job,跟 binary build/release 解耦并行。条件同前
(tag push v* 或 workflow_dispatch),用 NPM_TOKEN repo secret 授权。
publish 经由 prepublishOnly hook 自动跑 npm run build (esbuild bundle),
不复用 binary build 的产物。
setup-node 必须在 setup-bun 之前 — 让 node binary 与 .npmrc auth
token 在 PATH 优先,避免 bun 自带 node shim 抢走 npm publish。
前置:repo Settings → Secrets and variables → Actions 加 NPM_TOKEN,
值是 granular access token,scope 限 @act0r/cxs (或 @act0r/*),
permission read+write,且勾选 "Allow publishing without 2FA"。
Co-Authored-By: Claude Opus 4.7 <noreply@anthropic.com>
Entire-Checkpoint: 724c115e6d42