发布到 npm 与语义化版本控制

发布前，请务必运行 npm publish --dry-run。这会模拟发布过程，但不会实际上传任何内容，同时准确显示将被包含的文件、文件大小以及软件包压缩包的内容。它可以发现一些常见错误，例如意外包含源文件或遗漏 dist 目录。

使用 package.json 中的 files 字段控制要发布的内容："files": ["dist", "README.md"]。这种白名单方式比 .npmignore 更安全，因为 .npmignore 使用黑名单，如果忘记添加敏感文件，可能会导致其泄露。请务必包含 dist、类型声明和文档。绝不要包含源代码、测试或 node_modules。

npm 软件包遵循语义化版本规范（semver）：MAJOR.MINOR.PATCH。删除属性或更改 API 签名等不兼容变更应递增 MAJOR。新增组件或新的可选属性等向后兼容的功能应递增 MINOR。向后兼容的错误修复应递增 PATCH。0.x.x 版本被视为尚未稳定，此时任何内容都可能发生不兼容变化。

预发布标识符表示某个版本尚未达到可用于生产环境的状态：1.0.0-alpha.1 表示早期实验性构建版本，1.0.0-beta.2 表示功能已完成但可能仍存在错误的版本，1.0.0-rc.1（候选发布版本）表示已准备好进行最终测试的版本。请使用 npm publish --tag beta 发布预发布版本，以免它们成为默认安装版本。

Changesets 是组件库中用于管理软件包版本和更新日志的标准工具。工作流程如下：贡献者运行 yarn changeset add，记录发生的变更及其类型（major/minor/patch）。持续集成运行 yarn changeset version，递增软件包版本。发布时运行 yarn changeset publish，将软件包发布到 npm。

Changesets 会根据贡献者提交的变更集文件，自动生成并维护 CHANGELOG.md。每条记录都包含版本号、发布日期和变更说明。这样无需手动维护更新日志，就能创建每个版本都清晰易读的历史记录。

semantic-release 是一种全自动版本管理工具，它会根据约定式提交消息确定下一个版本（feat: → minor，fix: → patch，BREAKING CHANGE: → major）。它会递增版本、生成更新日志并发布到 npm——所有操作都会在合并到 main 后由持续集成触发。整个版本管理过程无需手动操作。

无作用域软件包（my-component）始终是公开的。有作用域软件包（@myorg/my-component）默认为受限（私有），请使用 npm publish --access public 将其公开发布。受限软件包需要 npm 付费账户或组织。首次发布前，请确认访问权限设置。

npm 来源证明会以可验证的方式，将您发布的软件包关联到其对应的特定 git 提交。请在 GitHub Actions 中使用 npm publish --provenance 启用此功能。使用者可以验证他们安装的软件包是否确实由 npm 注册表页面所显示的准确源代码提交构建而成。这会显著提升软件供应链的安全性。

如果某个版本存在严重错误或不兼容变更，请将其弃用：npm deprecate your-package@1.2.3 "Security vulnerability, upgrade to 1.2.4"。npm 会向安装该版本的所有人显示弃用警告。这不会删除该版本（npm 默认不会删除已发布的版本），但会提醒使用者进行升级。

有作用域软件包使用 @scope/package-name 格式。作用域通常是您的 npm 用户名或组织名称。有作用域软件包可以清楚表明软件包的维护者，并避免与无作用域软件包发生命名冲突。私有软件包以及与您的组织相关联的开源软件包，都应使用有作用域的软件包。

根据语义化版本规范，什么时候应当递增 MAJOR 版本号？

使用 npm publish --dry-run 预览发布内容，并使用 files 字段控制要发布的内容。语义化版本规范：不兼容变更使用 MAJOR，新功能使用 MINOR，修复使用 PATCH。预发布版本使用 -alpha/-beta/-rc 标记。Changesets 可为协作开发的组件库自动完成版本管理和 CHANGELOG 生成。semantic-release 可根据约定式提交自动完成这些工作。启用 --provenance 以提升软件供应链安全性。使用 npm deprecate 弃用存在错误的版本。