v0.1.2

v0.1.2 - @zackdk/dsh-weixin

发布链路改造：直发，不走 stage queue。

npm stage publish → npm publish。每发一版多一次 2FA 批准的手续，对这个包的
规模不划算。代价写在 workflow 头注释里：CI 管道被攻破时可以直接推到 registry，
没有人工闸门——npm 默认把 trusted publisher 设成 stage-only 正是因为这个。

NODE_AUTH_TOKEN 整行删掉，不是置空。${{ secrets.NPM_TOKEN }} 在 secret 被删后
解析成空字符串，"有但为空"最容易让人误以为 token 还在。这个仓库现在是零密钥
发布，只靠 id-token: write 换 OIDC。

顺带清掉 npm 每次都自动纠正的告警：repository.url 归一化成
git+https://github.com/CodeByZack/dsh-weixin.git。npm pkg fix 确认这是它唯一
想改的东西；tarball 审计只断言字段存在、不校验格式，所以审计不用动。

前置条件：npmjs.com 上这个包的 trusted publisher 配置必须允许 DIRECT publish。
默认是 stage-only，stage-only 会直接拒绝 npm publish——没开的话这步会失败并
给出明确报错。

验证：npm run prepublishOnly 七组审计全过（0.1.2），lockfile 仍为 0 个非官方
registry URL。