配置 OIDC（一次的事）

release({ action: "setup-ci", repo: "…/repo/dsh-websift" })

会写一份 .github/workflows/release.yml（含 id-token: write、并会把 runner 自带的 npm 升到 trusted publishing 要求的 ≥ 11.5.1），然后告诉你 npm 侧要敲的命令：

npm trust github  --file release.yml --repo / --allow-publish

⚠️ 这一步必须交互式 2FA：bypass 2FA 的令牌从 2026-08 起做不了 trusted publishing 配置（实测 npm trust list dsh-websift 直接 403）。网页入口： https://www.npmjs.com/package//access → Trusted Publishing。 workflow 文件名必须一字不差（含 release.yml 这个扩展名），否则 OIDC 校验会失败。

配好之后 channel 自动选 ci：本地只推 tag，npm 由 CI 发。

配置

运行时配置写在 ~/.dsh/storages/release/settings.json，优先级高于 cordis.patch.yml 里的出厂默认：

{
  "gitPath": "",
  "npmCli": "",
  "npmVersion": "",
  "githubToken": "",
  "profile": "",
  "access": "public",
  "verifyTimeoutMs": 240000
}

GET http://127.0.0.1:/_release/settings 可以看到当前探到的 git 与存储位置。

dsh-release

安装

说明文档

配置 OIDC（一次的事）

配置