fix: align project path and package identity to public devcodex

Rename remaining source-root/active-root references from devcodex-v1 to
devcodex, and align package identity to @devcodex/devcodex with
devcodex-labs GitHub and public npmjs publish settings. Update probe
paths, fixtures, skills, docs, and isSourceRepo detection so local and
published surfaces stay consistent. Leave historical release changelogs
unchanged.

Author: rockyshi1993

.github/workflows/publish.yml

@@ -0,0 +1,51 @@
+name: Publish to npm
+
+on:
+  push:
+    tags:
+      - "v*"
+
+concurrency:
+  group: publish-${{ github.ref }}
+  cancel-in-progress: false
+
+jobs:
+  publish:
+    runs-on: ubuntu-latest
+    permissions:
+      contents: read
+      id-token: write
+
+    steps:
+      - name: Checkout
+        uses: actions/checkout@v6
+
+      - name: Setup Node.js
+        uses: actions/setup-node@v6
+        with:
+          node-version: 24
+          registry-url: https://registry.npmjs.org
+          package-manager-cache: false
+
+      - name: Verify tag matches package.json version
+        run: |
+          TAG_VERSION="${GITHUB_REF#refs/tags/v}"
+          PKG_VERSION=$(node -p "require('./package.json').version")
+          if [ "${TAG_VERSION}" != "${PKG_VERSION}" ]; then
+            echo "Tag v${TAG_VERSION} does not match package.json version ${PKG_VERSION}"
+            exit 1
+          fi
+
+      - name: Install dependencies
+        run: npm ci
+
+      - name: Run package release checks
+        run: npm run test:package-release
+
+      - name: Preview package contents
+        run: npm pack --dry-run
+
+      - name: Publish
+        run: npm publish --provenance --access public
+        env:
+          NODE_AUTH_TOKEN: ${{ secrets.NPM_TOKEN }}

README.md

@@ -2,7 +2,7 @@
 
 > AI 开发规范注入器 — 默认五宿主：Copilot / Claude Code / Codex / Gemini / Grok（Hook-First / Instruction-Fallback）
 
-[![npm](https://img.shields.io/badge/npm-%40vextjs%2Fdevcodex-blue)](https://github.com/vextjs/devcodex)
+[![npm](https://img.shields.io/npm/v/@devcodex/devcodex.svg)](https://www.npmjs.com/package/@devcodex/devcodex)
 [![License](https://img.shields.io/badge/license-AGPL--3.0-green)](LICENSE)
 
 ## DevCodex 是什么？
@@ -114,31 +114,29 @@ DevCodex 通过 npm 全局安装把 Copilot、Claude Code、Codex、Gemini CLI 
 
 | 通道 | 当前状态 | 用途 |
 |---|---|---|
-| GitHub Packages | ✅ v1.15.3 | 当前唯一发布通道；安装需要 GitHub Packages `read:packages` 认证 |
+| npmjs | 待发布 v1.15.3 | 新 canonical 发布通道；发布后可直接安装 |
+| GitHub Packages | 历史包 `@devcodex-labs/devcodex@1.15.3` | 组织改名后转移的历史兼容包；不作为新安装主路径 |
 
 1. 确认 CLI 运行时（文档站维护另需 Node `^20.19.0 || >=22.12.0`）：
 
 ```bash
 node --version # CLI 需要 Node.js >=18
 ```
 
-2. 配置 GitHub Packages registry 与认证：
+2. 安装 CLI：
 
-```ini
-@vextjs:registry=https://npm.pkg.github.com
-//npm.pkg.github.com/:_authToken=${NODE_AUTH_TOKEN}
+```bash
+npm install -g @devcodex/devcodex
 ```
 
-当前 shell 的 `NODE_AUTH_TOKEN` 需使用具备 `read:packages` 的 GitHub PAT。
-
-3. 本地验证当前 global-only 候选：
+3. 本地验证当前候选：
 
 ```bash
 npm pack
-npm install -g ./vextjs-devcodex-1.15.3.tgz
+npm install -g ./devcodex-devcodex-1.15.3.tgz
 ```
 
-发布后的正式入口为 `npm install -g devcodex`；本阶段只验证本地 tarball 和 CLI 行为，不验证 npm 包名 owner、registry、dist-tag 或版本唯一性。
+发布后的正式入口为 `npm install -g @devcodex/devcodex`；本阶段只验证本地 tarball 和 CLI 行为，不验证 registry dist-tag 或版本唯一性。
 
 4. 在目标工作区初始化 `.devcodex` 并验证：
 
@@ -153,38 +151,21 @@ devcodex status
 
 ## 安装
 
-以下是当前 v1.15.3 的完整安装说明。当前版本仅发布到 GitHub Packages，安装需要读取认证。
-
-### 1. 配置 GitHub Packages
-
-```bash
-# 创建 .npmrc（推荐使用环境变量注入 GitHub PAT，避免把 token 写入仓库或本地文件）
-echo "@vextjs:registry=https://npm.pkg.github.com" >> .npmrc
-echo "//npm.pkg.github.com/:_authToken=\${NODE_AUTH_TOKEN}" >> .npmrc
-```
-
-```bash
-# 当前 shell 注入 PAT（需具备 read:packages；发布时还需 write:packages）
-export NODE_AUTH_TOKEN=YOUR_GITHUB_PAT
-```
-
-这里的环境变量仅用于 GitHub Packages 认证流程，不代表项目里的普通配置默认都应 env 化；未明确要求 env 时，AI 不得主动把明文或硬编码改成 env、`secretRef`、secret manager 或 `config.local.json`。
-
-> v1.15.3 未发布到 npmjs；缺少上述 registry 或读取认证时，安装不会自动回退到其他通道。
+以下是当前 v1.15.3 的完整安装说明。新 canonical 包名为 `@devcodex/devcodex`，发布目标为 npmjs。
 
-### 2. 安装并初始化
+### 1. 安装并初始化
 
 ```bash
 npm pack
-npm install -g ./vextjs-devcodex-1.15.3.tgz # 本地候选：安装 CLI 并自动配置五宿主用户级 adapter
+npm install -g ./devcodex-devcodex-1.15.3.tgz # 本地候选：安装 CLI 并自动配置五宿主用户级 adapter
 devcodex init                              # 只初始化当前 workspace 的 .devcodex
 devcodex status
 ```
 
 发布后的命令语义：
 
 ```bash
-npm install -g devcodex # 安装全局 CLI，并由 postinstall 配置五宿主用户级 adapter
+npm install -g @devcodex/devcodex # 安装全局 CLI，并由 postinstall 配置五宿主用户级 adapter
 npm update -g devcodex  # 升级全局包，并由 postinstall 刷新五宿主用户级 adapter
 npm install devcodex    # 仅加入当前项目依赖；不配置宿主，并提示必须使用 -g
 ```
@@ -327,8 +308,8 @@ Phase 1 采用“薄 Rule + `host-capability-routing` Skill + 三份 V1 契约/
 |------|------|
 | `devcodex global-adapters apply` | **源码维护者日常（R1a）**：从当前包根刷新用户级五宿主 adapter；支持 `--dry-run` / `--json`；不 pack、不 publish |
 | `npm install -g .` | **本地旁路（R1b）**：全局安装当前目录并走 postinstall 刷新 adapter |
-| `npm pack` + `npm install -g ./vextjs-devcodex-*.tgz` | **预发冒烟（R2）**：接近真实 tarball 安装面 |
-| `npm install -g devcodex` | **已发布（R3）**：安装全局 CLI；`postinstall` 自动刷新全局宿主 adapter |
+| `npm pack` + `npm install -g ./devcodex-devcodex-*.tgz` | **预发冒烟（R2）**：接近真实 tarball 安装面 |
+| `npm install -g @devcodex/devcodex` | **已发布（R3）**：安装全局 CLI；`postinstall` 自动刷新全局宿主 adapter |
 | `npm update -g devcodex` | **已发布（R3）**：升级全局包并 `postinstall` 刷新 adapter |
 | `npm install devcodex` | 仅安装到当前项目依赖；`postinstall` 不写宿主配置并提示必须使用 `-g` |
 | `devcodex update` | **workspace only（R4）**：只刷新当前 `.devcodex` 运行态，不写用户级宿主配置 |
@@ -500,7 +481,7 @@ AO-3 默认轻注入必须在 Shadow green 后单独确认，并继续受 `full-
 
 ```bash
 # 克隆仓库
-git clone https://github.com/vextjs/devcodex.git
+git clone https://github.com/devcodex-labs/devcodex.git
 cd devcodex
 ```
 
@@ -601,7 +582,7 @@ README / 用户使用文档当前补充四类专项 Skill：`user-manual-authori
 | **OpenAI Codex app/CLI** | 用户级 `.codex/AGENTS.md`、hooks、config 与 `.agents/skills/` | ⚠️ isolated direct probe；阻断输出按事件契约分级 | ⚠️ Hook + 文本确认 | ✅ 用户级 MCP managed block | 🟢 Direct probe |
 | **ChatGPT 普通对话** | 不读取本地工作区 `AGENTS.md` / `.agents/` / `.codex/`；可手工粘贴规则 | ❌ | ⚠️ 文本 | ❌ | 🔴 Unsupported |
 
-> **安装命令**：`npm install -g devcodex` 安装 CLI 并配置五宿主用户级 adapter；`npm update -g devcodex` 升级并刷新。当前候选用本地 tarball验证，不代表 npm registry 已发布。
+> **安装命令**：`npm install -g @devcodex/devcodex` 安装 CLI 并配置五宿主用户级 adapter；`npm update -g @devcodex/devcodex` 升级并刷新。当前候选用本地 tarball 验证，不代表 npm registry 已发布。
 >
 > **Grok 全局插件**：plugin source、配置和稳定 runtime 均位于用户级 Grok 根；`devcodex grok` 从当前 cwd 发现 workspace `.devcodex`，不依赖工作区 `.grok` 或 `AGENTS.md`。`doctor/status` 读取全局 receipt；工作区旧插件只报告为 legacy。
 >
@@ -672,7 +653,7 @@ DevCodex Hook runtime 不再把所有拦截都等同为“停止”。拦截会
    - 维护 DevCodex 源仓或 workspace-namespace 时，运行 `node scripts/validate-all-profiles.js --workspace <workspace-root>` 校验所有 Profile；发布前需要严格处理 warning 时追加 `--strict-warnings`
 3. **Codex / Copilot 想用 MCP**
    - 先确认宿主本身是否支持本地 MCP
-   - **Codex**：重新执行 `npm install -g devcodex`（首次/修复）或 `npm update -g devcodex`（升级），再重启 Codex。用户其它 `mcp_servers` 会保留
+   - **Codex**：重新执行 `npm install -g @devcodex/devcodex`（首次/修复）或 `npm update -g @devcodex/devcodex`（升级），再重启 Codex。用户其它 `mcp_servers` 会保留
    - **Copilot CLI**：同一全局安装/升级会维护 `~/.copilot/mcp-config.json` 的 DevCodex managed servers，并保留用户其它 servers；重启 Copilot CLI 后用 `devcodex doctor` 核对原生 CLI 状态
    - **Copilot IDE**：不继承 Copilot CLI 的用户级 Hooks/MCP 就绪结论，仍按目标 IDE 自身能力验证
    - Claude 使用用户级 MCP 配置，不要求工作区 `.mcp.json`
@@ -698,7 +679,7 @@ DevCodex Hook runtime 不再把所有拦截都等同为“停止”。拦截会
    - `CheckpointValidationResultV1` 分开记录 response-time 与 post-execution；PostToolUse/PreCompact 或缺失证据不能让 post-execution 通过，只有实际 Stop terminal evidence 才能完成
    - `devcodex trace show|replay --state <lifecycle-state.json> --json` 可检查当前 turn 的 sequence/duplicate/terminal；replay 只读且不会执行 payload
    - 工具或 Agent 仍持有有效长租约时不会按 120/300 秒误判；任何恢复都不得自动重放未知副作用的写操作
-   - gray sidecar 可执行 `npm run check:turn-liveness -- --state <lifecycle-state.json> --json`；安装包消费者可直接运行 `node node_modules/@vextjs/devcodex/scripts/check-turn-liveness.js --state <lifecycle-state.json> --json`
+   - gray sidecar 可执行 `npm run check:turn-liveness -- --state <lifecycle-state.json> --json`；安装包消费者可直接运行 `node node_modules/@devcodex/devcodex/scripts/check-turn-liveness.js --state <lifecycle-state.json> --json`
    - sidecar 只做一次读取和分类，不 watch、不写状态、不唤醒宿主、不重放操作、不控制进程；输出 `sidecar-observed` 不能冒充 `host-native-verified`
 
 ## IDE 兼容性

RULES.md

@@ -62,6 +62,6 @@ DevCodex 同时支持五宿主的用户级加载路径，规则语义保持一
 
 ## 相关链接
 
-- [GitHub 仓库](https://github.com/vextjs/devcodex)
+- [GitHub 仓库](https://github.com/devcodex-labs/devcodex)
 - [变更日志](CHANGELOG.md)
 

SECURITY.md

@@ -21,5 +21,5 @@
 ## Security Disclosure Policy
 
 - 我们遵循 90 天披露政策
-- 修复后会在 [Releases](https://github.com/vextjs/devcodex/releases) 发布安全公告
+- 修复后会在 [Releases](https://github.com/devcodex-labs/devcodex/releases) 发布安全公告
 - CVE 编号申请视严重程度决定

changelogs/TEMPLATE.md

@@ -79,8 +79,8 @@
 ## ✅ 验证
 
 ```bash
-npx @vextjs/devcodex init --dry-run
-npx @vextjs/devcodex status
+npx @devcodex/devcodex init --dry-run
+npx @devcodex/devcodex status
 ```
 
 ---
@@ -93,7 +93,7 @@ devcodex global-adapters apply
 # 预发冒烟：
 # npm pack && npm install -g ./vextjs-devcodex-<version>.tgz
 # 已发布用户：
-# npm update -g @vextjs/devcodex
+# npm update -g @devcodex/devcodex
 # workspace 运行态 only：
 # devcodex update
 ```

changelogs/unreleased.md

@@ -4,6 +4,7 @@
 > **当前**: v1.15.3 已归档到 `changelogs/releases/v1.15.3.md`；本文件仅保留历史锚点索引与镜像供 validate 探针消费。发版后新实现再写入下方「当前未发布」。
 
 ## 当前未发布实现候选
+- **目录与包身份统一为 devcodex（本地/公开）**：源码目录与 active-root 由 devcodex-v1 对齐为 devcodex；npm 包 @devcodex/devcodex、仓库 devcodex-labs/devcodex、npmjs public 发布配置与 probe/fixtures/Skill 示例同步；isSourceRepo 识别新包名；历史 releases 台账不回溯改写。
 
 - **维护者站点×清单一致性（Fix-1 分母重冻）**：`docs-surface-inventory` npm scripts 下限 **≥113**、scripts/lib **≥102**；基线 `scripts/fixtures/docs-surface-baseline-20260727.json`；intro 能力证据表补 scripts/lib/validation/delivery-honesty 与五宿主 L0 摘要表。需求：`maintainer-site-docs-consistency`。
 - **跨宿主 MCP runtime 闭包 + tools/call 烟雾 + hang 有界 + 模板真/重/路径列 + Track Q**：`CLAUDE_MCP_RUNTIME_SCRIPT_DEPS` 补 `executable-absorption-gates.js`；`mcpToolCallProbe` 进 Grok runtime verify；`test:mcp-runtime-closure` 挂 host-parity；ConfirmBinding mismatch nextStep；概况 §11/§12 真实性/去重；delivery/report 禁无路径短名表；memory Skill package vs activeRoot。需求：`跨宿主MCP卡死与Runtime依赖不全修复`（L4 真机仍待执行）。

index.js

@@ -113,7 +113,7 @@ function beginManagedDeployment(cwd, surfaces, { tenantId = null, grokWorkspaceB
     targetRoot: cwd,
     manifestFile,
     descriptors: buildDeploymentDescriptors(surfaces, { tenantId, grokWorkspaceBridge, grokWorkspaceScope }),
-    packageName: packageJson.name || '@vextjs/devcodex',
+    packageName: packageJson.name || '@devcodex/devcodex',
     packageVersion: packageJson.version || 'unknown'
   })
   const preview = session.preview
@@ -144,7 +144,7 @@ const LEGACY_TARGETS = []
 function isSourceRepo(dir) {
   try {
     const pkg = JSON.parse(fs.readFileSync(path.join(dir, 'package.json'), 'utf8'))
-    return pkg.name === '@vextjs/devcodex'
+    return pkg.name === '@devcodex/devcodex'
   } catch { return false }
 }
 

instructions/02-output-paths.instructions.md

@@ -173,7 +173,7 @@ reports/<子目录>/<agent>/YYYYMMDD/NN--<简述>.md
 
 ```markdown
 #### 完成交付文件
-- [最终执行与验证报告](E:/Worker/.devcodex/devcodex-v1/reports/.../12--最终执行报告.md) — 汇总完成范围、验证结果和残余风险；路径：`.devcodex/devcodex-v1/reports/.../12--最终执行报告.md`；操作：查看结论
+- [最终执行与验证报告](E:/Worker/.devcodex/devcodex/reports/.../12--最终执行报告.md) — 汇总完成范围、验证结果和残余风险；路径：`.devcodex/devcodex/reports/.../12--最终执行报告.md`；操作：查看结论
 ```
 
 自由文本表示例：
@@ -183,13 +183,13 @@ reports/<子目录>/<agent>/YYYYMMDD/NN--<简述>.md
 
 | 语义名称 | 用途 | 路径 | 操作 |
 |----------|------|------|------|
-| 最终执行与验证报告 | 汇总完成范围与残余风险 | `.devcodex/devcodex-v1/reports/.../12--最终执行报告.md` | 查看结论 |
+| 最终执行与验证报告 | 汇总完成范围与残余风险 | `.devcodex/devcodex/reports/.../12--最终执行报告.md` | 查看结论 |
 ```
 
 Portable 示例保持同一语义项，链接 target 与路径列均为工作区相对路径：
 
 ```markdown
-- [最终执行与验证报告](.devcodex/devcodex-v1/reports/requirements/codex/20260719/12--最终执行报告.md) — 汇总完成范围、验证结果和残余风险；路径：`.devcodex/devcodex-v1/reports/requirements/codex/20260719/12--最终执行报告.md`；操作：查看结论
+- [最终执行与验证报告](.devcodex/devcodex/reports/requirements/codex/20260719/12--最终执行报告.md) — 汇总完成范围、验证结果和残余风险；路径：`.devcodex/devcodex/reports/requirements/codex/20260719/12--最终执行报告.md`；操作：查看结论
 ```
 
 Portable/Plain 在同一 semanticDigest 下只改变链接形式，不改变文件集合、顺序、状态、动作或路径列语义。legacy “主要产物 + 绝对路径”文本最多识别为 `unverified-legacy`，不能作为 verified delivery receipt。当且仅当 fallback 激活时，可追加 `绝对路径：E:/...` 并记录 reason。

package-lock.json

@@ -1,5 +1,5 @@
 {
-  "name": "@vextjs/devcodex",
+  "name": "@devcodex/devcodex",
   "version": "1.15.3",
   "description": "DevCodex — AI-powered development workflow rules for Copilot, Claude Code, Codex, Gemini CLI and Grok",
   "main": "index.js",
@@ -133,22 +133,22 @@
     "codex",
     "grok"
   ],
-  "author": "Rocky <rocky@vextjs.com> (https://github.com/vextjs)",
+  "author": "Rocky <rocky@vextjs.com> (https://github.com/devcodex-labs)",
   "license": "AGPL-3.0-or-later",
   "repository": {
     "type": "git",
-    "url": "git+https://github.com/vextjs/devcodex.git"
+    "url": "git+https://github.com/devcodex-labs/devcodex.git"
   },
   "homepage": "https://devcodex.dev",
   "bugs": {
-    "url": "https://github.com/vextjs/devcodex/issues"
+    "url": "https://github.com/devcodex-labs/devcodex/issues"
   },
   "engines": {
     "node": ">=18"
   },
   "publishConfig": {
-    "registry": "https://npm.pkg.github.com/",
-    "access": "restricted"
+    "registry": "https://registry.npmjs.org/",
+    "access": "public"
   },
   "files": [
     "index.js",
@@ -321,4 +321,3 @@
     "c8": "10.1.3"
   }
 }
-