v0.1.3

v0.1.3 - @zackdk/dsh-weixin

客户端 bundle 改由 CI 构建。

lib/client.js 之前是本地构建后提交进仓库的——DSH 插件通过 dsh plugin add 安装，
等价于一次普通 npm install，没有构建步骤，bundle 必须存在于发布的 tarball 里。
但 tarball audit 只校验文件存在且被包进 __ModuleLoader__ 壳，从不校验它是否最新：
改了 plugin-src/client/ 却忘了 build，会把过期 bundle 发上去并通过所有检查。

现在 validate 和 publish 两个 job 都在 npm ci 之后跑 npm run build:client，
tarball 装的是 CI 从 tag 指向的 commit 现场构建的产物。esbuild 是 devDependency，
@esbuild/linux-x64 在 lockfile 里且 resolved 指向 registry.npmjs.org，
npm ci 确定性拿到原生二进制，构建时不依赖 CDN 下载。

lib/client.js 已从 git 移除并加入 .gitignore；本地开发先跑一次 npm run build:client
（README 已记录）。使用侧不受影响——tarball 里仍有 bundle，装完即用，无需构建。

沿用 0.1.2 起的 direct publish 链路：零密钥，只靠 id-token: write 换 OIDC。