Harden public package installation and release validation

docs/PUBLICATION-REVIEW.zh.md

@@ -92,7 +92,7 @@ bun test
 
 回归覆盖目标预设隔离、Host 继承去重、总开关、旧分组入口、注册回滚、异步取消、卸载、快速切换、保存失败重试、空目标、双 profile 与安装文件保留。定向发布集成测试使用本机真实 Cordis 和 dsh-scope 服务上下文。
 
-最终检查：Host/Client 构建成功；严格类型检查通过；133 项测试通过；打包清单检查通过。发布文件清单排除了本机 `.npmrc` 和私有调试控制脚本。
+此前 UI 修复检查：Host/Client 构建成功；严格类型检查通过；133 项测试通过；打包清单检查通过。发布文件清单排除了本机 `.npmrc` 和私有调试控制脚本。
 
 新增启动回归使用本机官方 Schemastery/Cosmokit 的当前源码作为 schema peer，加载已构建的 Host JS；本机安装的旧 `lib` 不支持 volatile 引用，因此单独测试 `Config({})` 无法覆盖新版桌面行为。测试覆盖旧 profile 的缺省字段、新版和旧版配置、开关为 false、保留引用的更新、即时撤销，以及真实 Cordis 中的激活、所属实例事件和无错误卸载。该集成测试使用隔离目录与工具/skill 服务，不连接 Netx 生产服务。
 
@@ -101,3 +101,17 @@ bun test
 ![新版发布 UI，模拟 Host 数据](assets/publication-preview.jpg)
 
 实际桌面设置卡片已核对；Web 界面、当前与新会话的定向能力目录，以及配置好的 Netx API token 权限仍需在相应环境验证。高级拓扑 MCP、IM 投递和生产 Netx 服务连通性不包含在本次离线验证中。
+
+## 0.1.70 公开安装与发布检查
+
+发现并修复 Harness 默认 profile 的“注释 + 空列表 `[]`”安装问题：旧实现直接追加预设 block，产生无效 YAML，重启时可能无法加载。现在保留注释与用户条目，转换空列表后再追加；覆盖 BOM、CRLF、文档边界、重装幂等、带引号的用户预设 ID，以及自定义 profile。profile 配置通过同目录临时文件替换，写入前再次核对已有内容。
+
+公开包仅包含八个预编译入口、预设覆盖文件、分组技能、图标、中英文插件元信息和文档，排除源码、测试、开发脚本、本机配置与开发机生成的 standard 快照。公开安装使用包内技能，避免错误读取相邻 `netx` 包的目录。没有安装编译钩子、第三方运行时依赖或隐式 IM/cron 安装。
+
+源码锁文件与公开开发依赖声明已对齐，工作区禁用自动安装 Harness peers；默认构建不再读取开发机的 standard 模板。手工预设安装脚本统一复用正式安装器，去掉先删除预设的行为；不同系统的 peer 链接脚本统一选择同一 Host 的完整依赖集。
+
+新增发布检查核对真实构建输入、预编译输出哈希、导出、客户端注册、声明式 bundle、运行依赖、技能及展示元信息。修改源码但漏构建、修改输出或遗漏文件会阻止发布。`release:pack` 使用与安装测试相同的 npm 打包器，生成 `.tgz` 和 SHA256 校验文件。
+
+本机验证：全新临时源码目录从公共 registry 安装锁定的开发依赖后，可在没有 Harness peers/本机 standard 的情况下完成构建与发布检查；实际 npm 包在中文与空格路径中离线安装成功，没有拉取私有 Harness 包或 React。安装后的独立副本使用真实 Harness peers 激活，挂载 15 个运维工具及包内技能，全部 Host/工具入口可导入，卸载后无残留。测试不更改真实 profile、凭据或生产设备。
+
+当前完整回归为 **137 项通过、0 项失败**；严格类型检查与发布检查通过。Windows/macOS/Linux 的独立构建与离线安装检查已加入 GitHub Actions，跨平台结果以该提交对应的 CI 为准。公开发布流程见 [RELEASING.md](RELEASING.md)。