ci: npm 改用 Trusted Publishing（OIDC）发布，不再需要 NPM_TOKEN

Co-Authored-By: Claude Opus 5.5 <noreply@anthropic.com>

Author: margrop

.github/workflows/packages.yml

@@ -66,6 +66,7 @@ jobs:
           if-no-files-found: error
 
   # 发布单独成一个 Job：npm 发布失败不影响安装包上传到 Release
+  # 使用 npm Trusted Publishing（OIDC），无需 NPM_TOKEN；需在 npmjs.com 包设置中登记本仓库的 packages.yml
   npm-publish:
     name: Publish to npm
     needs: npm
@@ -75,10 +76,10 @@ jobs:
       contents: read
       id-token: write
     steps:
+      # Trusted Publishing 需要 npm 11.5.1 及以上，Node.js 24 自带
       - uses: actions/setup-node@v4
         with:
-          node-version: '22'
-          registry-url: 'https://registry.npmjs.org'
+          node-version: '24'
 
       - uses: actions/download-artifact@v4
         with:
@@ -87,16 +88,11 @@ jobs:
 
       - name: Publish
         shell: bash
-        env:
-          NODE_AUTH_TOKEN: ${{ secrets.NPM_TOKEN }}
         run: |
-          if [ -z "$NODE_AUTH_TOKEN" ]; then
-            echo "未配置 NPM_TOKEN，跳过 npm 发布"
-            exit 0
-          fi
+          npm --version
           tag=latest
           if [[ "$GITHUB_REF_NAME" == *-* ]]; then tag=next; fi
-          npm publish ./dist/wrong-notebook-*.tgz --access public --provenance --tag "$tag"
+          npm publish ./dist/wrong-notebook-*.tgz --access public --tag "$tag"
 
   desktop:
     name: Desktop (${{ matrix.name }})

doc/INSTALL_PACKAGES.md

@@ -69,7 +69,7 @@ node scripts/package/build.mjs fnos --arch x86        # 需要 PATH 中有 fnpac
 
 推送 `v*` 标签后，`.github/workflows/packages.yml` 在各平台 Runner 上构建全部安装包并上传到对应的 GitHub Release；也可以在 Actions 页面手动运行，只生成构建产物。
 
-npm 发布需要在仓库 Secrets 中配置 `NPM_TOKEN`，未配置时跳过发布；带 `-` 的预发布标签发布到 npm 的 `next` 标签。
+npm 使用 [Trusted Publishing](https://docs.npmjs.com/trusted-publishers)（OIDC）发布，不需要 `NPM_TOKEN`。npmjs.com 上 `wrong-notebook` 包的 Settings → Trusted Publisher 已登记 GitHub Actions：`margrop/wrong-notebook`、工作流 `packages.yml`；重命名该工作流文件时需同步修改登记。带 `-` 的预发布标签发布到 npm 的 `next` 标签。npm 发布在独立的 Job 中，失败不影响安装包上传到 Release。
 
 ## 目录结构