feat: update

skills/deb-publisher/SKILL.md

@@ -39,6 +39,7 @@ rg -n -i --hidden --glob '!.git' \
 - `Makefile`、CI 配置、`debian/`、构建脚本和发布文档。
 - 版本号、包名、架构、产物目录和仓库名如何传入。
 - 发布端点、认证方式以及发布是否由构建目标自动触发。
+- 项目根目录或发布文档是否提供 `.env` 配置；只确认变量名，不打印其值。
 - 当前工作树和目标版本是否匹配。
 
 优先复用已有构建入口。上传默认使用本 skill 的 `scripts/upload_deb.sh`，不要把它
@@ -52,12 +53,25 @@ rg -n -i --hidden --glob '!.git' \
 执行上传前确认：
 
 - 目标服务和仓库来自项目配置或用户输入，不猜测生产端点。
-- 认证令牌已通过环境变量或密钥系统提供。
+- 认证令牌已通过环境变量、密钥系统或项目 `.env` 提供。
 - 目标版本、架构和产物路径能够从构建配置推导。
 - 相同版本是否允许覆盖；无法确认且可能覆盖时，先询问用户。
 
 绝不把令牌写入命令输出、文件、提交或最终回复。不要用 `set -x` 执行含凭据的脚本。
 
+如果项目根目录存在 `.env`，且当前 shell 尚未提供所需变量，上传前必须显式加载
+该文件；上传脚本不会自动读取 `.env`：
+
+```bash
+set -a
+. "$PROJECT_ROOT/.env"
+set +a
+```
+
+加载后确认 `DEB_SERVER_URL`、`DEB_REPOSITORY`、`DEB_TOKEN` 已非空；如配置了自定义
+上传路径，也确认 `DEB_UPLOAD_PATH`。不得输出 `.env` 内容、令牌或完整环境变量值。
+当前 shell 中已显式设置的值优先于 `.env`，若需覆盖 `.env`，加载后重新导出显式值。
+
 ### 3. 构建包
 
 使用项目声明的构建目标，并显式传入版本。例如项目提供 Make 目标时：
@@ -105,6 +119,9 @@ DEB_REPOSITORY="$DEB_REPOSITORY" \
   <skill-dir>/scripts/upload_deb.sh <exact-package-path.deb>
 ```
 
+执行上述命令前，若配置来自项目 `.env`，先按第 2 步加载 `.env`；不要把 `.env`
+复制到 skill 或项目之外的临时位置，也不要把 token 作为命令行参数。
+
 不要把脚本复制进当前项目，也不要将 token 作为命令行参数。脚本默认请求
 `/api/v2/upload/package`，以 multipart 字段 `package`、`token`、
 `repository_name` 上传，接受 `200` 和 `201` 为成功。端点路径不同时可设置