chore(ci): update publish and changelog workflows

Author: axuj

.github/workflows/publish.yml

@@ -7,39 +7,49 @@ on:
     tags:
       - v*
 
+# 权限
+permissions:
+  id-token: write
+  contents: write
+
 # 工作流执行的任务
 jobs:
   build-and-publish:
     # 任务运行的虚拟机环境
     runs-on: ubuntu-latest
+
+    # 启用手动发布审批，需在 GitHub "Settings > Environments" 中配置。
+    # 此名称 ('npm-publish') 必须与 npm Provenance 设置中的环境名完全一致。
+    environment: npm-publish
+
 
     steps:
-      # 第一步：检出仓库代码
+      # 检出仓库代码
       - name: Checkout repository
         uses: actions/checkout@v4
         with:
           fetch-depth: 0
 
-      # 第二步：安装 pnpm
+      # 安装 pnpm
       - name: Set up pnpm
         uses: pnpm/action-setup@v4
         with:
           # 指定你项目使用的 pnpm 版本
           version: 10.15.1
 
-      # 第三步：设置 Node.js 环境 (在 pnpm 之后)
+      # 设置 Node.js 环境 (在 pnpm 之后)
       - name: Set up Node.js
         uses: actions/setup-node@v4
         with:
           node-version: '22.13.0'
           # 关键：为 pnpm 设置缓存
           cache: 'pnpm'
 
-      # 第四步：安装依赖
+      # 安装依赖
       - name: Install dependencies
         run: pnpm install --frozen-lockfile
 
-      # 第五步：校验版本号是否一致 (这一步无需任何改动)
+      # 校验版本号是否一致 (这一步无需任何改动)
       - name: Check version match
         run: |
           TAG_VERSION=$(echo ${{ github.ref_name }} | sed 's/^v//')
@@ -53,23 +63,16 @@ jobs:
             exit 1
           fi
 
-      # 第六步：构建项目 (如果需要)
+      # 构建项目
       - name: Build project
         run: pnpm build
 
-      # 第七步：配置 npm Registry (为了发布)
-      - name: Configure npm registry
-        run: pnpm config set //registry.npmjs.org/:_authToken=${{ secrets.NPM_TOKEN }}
 
-      # 第八步：发布到 npm
+      # 发布到 npm
       - name: Publish to npm
         run: pnpm publish --no-git-checks
-        env:
-          # 这一行其实在 pnpm v7+ 中已经不是必需的了，因为上面的 config set 已经完成了认证
-          # 但保留它也无害，可以兼容旧版本
-          NODE_AUTH_TOKEN: ${{ secrets.NPM_TOKEN }}
 
-      # 第九步：生成 changelog
+      # 生成 changelog
       - run: pnpm dlx changelogithub --no-group
         continue-on-error: true
         env:

.github/workflows/regenerate-changelog.yml

@@ -12,11 +12,16 @@ on:
         required: true
         type: string
 
+# 权限
+permissions:
+  contents: write
+
+
 jobs:
   regenerate:
     runs-on: ubuntu-latest
     steps:
-      # 步骤 1: 检出代码
+      # 检出代码
       # 确保检出的是你手动输入的那个特定的标签
       - name: Checkout specific tag
         uses: actions/checkout@v4
@@ -26,7 +31,7 @@ jobs:
           # 检出你通过输入框传入的标签
           ref: ${{ github.event.inputs.tagName }}
 
-      # 步骤 2: (可选) 安装 Node.js 和 pnpm
+      # 安装 Node.js 和 pnpm
       # 如果你的 changelog 生成依赖于项目中的某些开发依赖，则需要此步骤
       - name: Set up pnpm
         uses: pnpm/action-setup@v4
@@ -39,11 +44,9 @@ jobs:
           node-version: '22.13.0'
           cache: 'pnpm'
 
-      # 如果 changelogithub 是项目的 devDependency，你可能需要安装它
-      # - name: Install dependencies
-      #   run: pnpm install --frozen-lockfile
 
-      # 步骤 3: 重新生成 Changelog
+
+      # 重新生成 Changelog
       # 这一步会为当前检出的标签（即你输入的标签）创建或更新 GitHub Release
       - name: Generate changelog
         run: pnpm dlx changelogithub --no-group