memradar: Skill for Claude Code

memradar Release

This skill releases a new version of memradar to npm and pushes the version commit + tag to GitHub, in one flow. It is scoped to this repository (on1659/memradar).

Arguments

The skill may receive an argument string. Parse these tokens (any order, all optional):

• Bump level: patch | minor | major | an explicit semver like 0.2.0
• Flags: --skip-tests (skips npm run test:harness — use only if tests are already known green)
• Anything else: treat as the release description (one-line commit message suffix)

If bump level is missing, ask the user via AskUserQuestion with options patch / minor / major. Also ask for a one-line description if it isn't in the args. Never guess either.

npm 인증 (안전 패턴 — 토큰이 로그에 안 남게)

이 레포의 실제 릴리스 경로는 로컬 npm publish 다 (GitHub Actions release.yml은 Actions 정책 차단으로 실패 — .github/workflows/release.yml 참고). 로컬 publish에는 npm 자동화 토큰이 필요한데, 과거 릴리스에서 토큰을 .npmrc에 평문으로 쓰거나 명령에 인라인해 세션 로그에 평문 유출된 사고가 있었다. 그래서 인증은 아래 패턴만 쓴다.

.npmrc (리터럴 토큰 미기록):

.npmrc(이미 .gitignore됨)에는 토큰 값 대신 환경변수 보간만 적는다. npm 10.9.4+ 가 ${VAR} 보간을 지원한다.

//registry.npmjs.org/:_authToken=${NPM_TOKEN}

이 한 줄이면 충분하다. 실제 토큰 문자열(npm_...)을 .npmrc에 절대 쓰지 않는다.

토큰 주입은 사용자가 자기 터미널에서 직접 (out-of-band):

토큰은 사용자만 자기 셸 환경변수로 주입한다. release 스킬을 실행하기 전에 사용자가 직접:

• PowerShell: $env:NPM_TOKEN = '<토큰>'
• bash/zsh: export NPM_TOKEN=<토큰>

Claude 도구 호출(Bash/PowerShell)로 토큰 값을 절대 전달하지 않는다. 토큰은 사용자 셸에만 존재하고, 스킬은 그 환경변수가 npm에 의해 ${NPM_TOKEN}으로 읽히게만 한다. 도구 호출이 캡처되는 세션 로그에는 토큰 값이 한 글자도 들어가지 않는다.

금지 명령 (절대 실행 금지 — Safety rules와 동급):

• echo //registry.npmjs.org/:_authToken=npm_... >> .npmrc 또는 어떤 형태로든 토큰 값을 .npmrc에 쓰는 명령 — 토큰이 도구 호출 인자로 로그에 박힌다.
• npm config set //registry.npmjs.org/:_authToken=npm_... — 동일한 이유로 금지.
• npm publish --//registry.npmjs.org/:_authToken=npm_... (또는 --registry/--auth-token 인라인) — publish 명령에 토큰을 붙이지 않는다.
• echo $NPM_TOKEN / echo $env:NPM_TOKEN / cat .npmrc (또는 Get-Content .npmrc) — 토큰 값을 stdout으로 출력하는 명령. 존재 확인은 값 노출 없이 boolean으로만 (아래 프리플라이트 참고).