Release Audit Skill
职责边界
audit-release 回答“当前变更是否适合进入正式发布，以及风险是否被充分披露”。release-verification 回答“版本、测试、pack、publish dry-run、tag 和发布后验收链是否执行通过”。
- 审查型：发现风险、缺口、遗漏与建议，默认只读。
- 不执行真实
tag/push/publish。 - 可引用
release-verification的 R0~R7 结果作为证据，但不能用执行通过替代审查结论。 - package completeness gate 是 RL-4 的输入之一，不等于完整发布前审查。
- 发布前复审、tag/publish 前风险清单或多轮 release readiness 收敛必须触发
review-checklist，冻结 RL-1~RL-10 及关联发布风险项，并逐项绑定证据。
输入范围
优先读取当前发布相关真相源：
package.json、package-lock.json、plugin.jsonchangelogs/unreleased.md、根CHANGELOG.md、changelogs/releases/vX.Y.Z.md- README、安装说明、release guide、website 当前文档、Profile
- 当前 git diff/status、已确认需求/bug 产物、发布报告或 ReleaseVerification 证据
RL-1~RL-10 发布审查维度
| 维度 | 检查内容 | 优先级 |
|---|---|---|
| RL-1 版本身份 | 目标版本、SemVer、tag、registry、发布范围是否唯一且一致 | 🔴 |
| RL-2 发布说明质量 | changelog/release notes 是否覆盖用户可见变化、修复、迁移提示与已知限制 | 🔴 |
| RL-3 兼容与迁移风险 | 先执行 ReleaseAuthorityBeforeCompatibilityGate 核对 publishedState、consumerEvidence 和 authoritySources；已发布再审 breaking/迁移，未发布无稳定消费者默认直接收敛 | 🔴 |
| RL-4 元数据完整性 | description、keywords、repository、homepage、bugs、license、files/exports/bin、publishConfig、engines、plugin.json 是否完整准确 | 🔴 |
| RL-5 包边界与安装面 | pack 内容、安装路径、认证前提、二进制入口、禁发文件与部署副本边界是否清楚；是否执行 PublicSurfaceClosureGate，分类历史 pack 公开内容、README 隐藏链接、public types 兼容 API、examples/sidebar/nav 和搜索索引源文档；公开打包脚本是否执行 PackagedScriptDependencyClosureGate，递归核对本地 helper、spawn 目标脚本和运行时依赖进入 tarball | 🔴 |
| RL-6 消费链同步 | README、website、Profile、release guide、模板、validate 与部署副本是否同步；用户可交互发布面命中时执行 InteractiveSemanticProbe | 🔴 |
| RL-7 验证准备度 | npm test、test:audit、远端 CI 绿色、pack/publish dry-run、install smoke、ReleaseVerification R0~R7 的触发与证据是否充分；是否执行 CandidateDiffCompletenessGate、CandidateFreezeGate、ReleaseCriticalPathBudgetGate、ValidationEvidenceReuseGate、RemoteCIParityPushGate 与 NativeCommandExitCodeGate，不得用普通 working diff、未冻结候选、无基线预算或测试通过替代 staged candidate、coverage、audit、examples、website、pack、矩阵脚本或真实退出码 | 🟡 |
| RL-8 回滚与恢复 | 失败恢复、版本回退、tag/registry 冲突、半发布状态处理是否可执行 | 🟡 |
| RL-9 凭据与 registry 安全 | token 不落盘、不输出；GitHub Packages / npm registry / access 策略与文档一致；首次发布或 publisher/repository/package/registry/auth topology 变化时执行 PublisherCredentialTopologyGate；scoped package / 双 registry 追加 ScopedRegistryResolutionGate，核对 .npmrc scope 路由、命令级 override、发布身份、secret scope/access/inheritance、workflow permission、package ownership 与最近成功 run，不读取 secret value | 🔴 |
| RL-10 发布后验收 | registry/tag 验收、安装包边界复核、逃逸复盘与后续台账回写是否定义 | 🟡 |
执行步骤
- 先执行
audit-common的 G0~G5，确认审查范围、文件完整性、一致性与链接基础质量。 - 冻结发布审查范围：目标版本、发布包、registry、关联 changelog、关联需求/bug，并用 tag/registry/release note/public docs/实际消费者建立发布权威证据。
- 逐项执行 RL-1~RL-10；缺证据时标为
⚠️待验证，不得写成通过。 - 对照
release-verification：执行链缺失写 RL-7；审查风险缺失写 RL-1RL-6/RL-8RL-10；RL-9 触发PublisherCredentialTopologyGate时，复制 workflow 或普通 dry-run 不能替代 topology evidence；双 registry scoped package 若未显式复核 scope registry precedence，不得把两次 dry-run 计作独立通道证据。 - 输出 findings-first 报告；无问题时仍列出通过证据和残余风险。
输出要求
markdown## Release Audit | 维度 | 状态 | 证据 | 结论/动作 | |------|------|------|-----------| | RL-1 | ✅/⚠️/❌/N/A | | | | RL-2 | ✅/⚠️/❌/N/A | | | | RL-3 | ✅/⚠️/❌/N/A | ReleaseAuthorityBeforeCompatibilityGate | | | RL-4 | ✅/⚠️/❌/N/A | package completeness gate | | | RL-5 | ✅/⚠️/❌/N/A | pack/install evidence | | | RL-6 | ✅/⚠️/❌/N/A | README/website/Profile；InteractiveSemanticProbe 或 N/A | | | RL-7 | ✅/⚠️/❌/N/A | R0~R7 + candidate freeze/generation + budget/reuse decision + staged candidate + command/shell/cwd/exitCode | | | RL-8 | ✅/⚠️/❌/N/A | rollback plan | | | RL-9 | ✅/⚠️/❌/N/A | registry/token boundary + PublisherCredentialTopologyGate（无 secret value） | | | RL-10 | ✅/⚠️/❌/N/A | post-release acceptance | |
报告中的问题清单必须继续附合理性、可实施性、收益、验证状态和影响范围。涉及正式发版动作时，真实 tag / push / publish 仍必须等待用户明确确认。
