specd: Skill for Claude Code

publish-npm

Publica specd no registry npm. O procedimento existe porque publicação é a operação mais irreversível que este repositório executa: nome mais versão publicados nunca voltam a ficar livres. npm unpublish só vale nas primeiras 72 horas, e mesmo assim queima o par para sempre.

Daí a skill seguir costly-ops-are-not-silent e absence-is-not-compliance do CLAUDE.md ao pé da letra: para e nomeia a escolha antes de pagar o custo, e trata a resposta de sucesso do npm como promessa, não como prova.

Regras que não se negociam

A credencial nunca aparece. O token mora em NODE_AUTH_TOKEN no .env, que é gitignored. Nunca cat .env, nunca echo do valor, nunca token em argv (fica visível em ps para qualquer processo da máquina). Ele entra por um .npmrc temporário fora do repositório, apagado por trap mesmo se o comando falhar.

As outras quatro são pré-condições, cada uma detalhada no passo que a executa:

• Sem confirmação nesta conversa, não publica — versão e dist-tag exatas, depois do dry-run (passo 5). Autorização de sessão anterior não vale.
• Sem gate verde e árvore limpa, não publica (passos 2 e 6).
• De commit que só existe nesta máquina, não publica (passo 6).
• Sucesso do npm não é prova — quem fecha é a releitura (passo 8).

Procedimento

1. Estado antes de qualquer coisa

git status --porcelain && git rev-parse --short HEAD
node -p "const p=require('./package.json'); p.name+'@'+p.version"
npm view "$(node -p "require('./package.json').name")" versions --json 2>&1
npm view "$(node -p "const p=require('./package.json'); p.name+'@'+p.version")" version 2>&1

Árvore suja → pare e mostre o que está pendente. A lista de versões sai inteira, sem tail: o começo da série é onde mora 0.0.0, a versão quebrada que os passos 4 e 8 usam como referência.

Terceira linha, o nome. E404 significa que este nome nunca foi publicado — normal numa primeira publicação, alarme em qualquer outra. Nome diferente é pacote diferente, não versão nova do mesmo: houve um intervalo em que @jnerytech/specd estava no ar e o package.json dizia "name": "specd", e publicar dali teria reservado um segundo nome, com quem instalou o primeiro continuando nele. Se divergirem, pare e traga a escolha ao autor — renomear pacote publicado quebra quem instalou. (REQ-CLI-007 amarra o nome citado na documentação ao manifesto; a checagem fica porque é barata e falha em silêncio.)