npm 可信发布：未验证配置 48 小时后失效

npm 可信发布：未验证配置 48 小时后失效 未成功发布验证的 trusted publisher 配置会在创建 48 小时后失效，首次成功发布后的配置不受这项到期限制；更换仓库或项目身份需要建立新信任关系。

GitHub Actions 的 issue_comment 与 pull_request_target 事件不能获取这类发布令牌，维护者应检查首次发布窗口及工作流触发事件。