[Windsander]

fix(release): publish tarballs by absolute path

问题

正式发布 run 40086209139 在 npm publish 失败，包未发布：

npm publish release-pack/mebular-core-0.1.0.tgz
→ npm 将其当成 GitHub shorthand
→ git ls-remote ssh://git@github.com/release-pack/mebular-core-0.1.0.tgz.git
→ Permission denied (publickey)

Preflight 已通过，三平台安装包也已全部构建成功。

修复

.github/workflows/publish.yml：

• publish job：npm publish "$(realpath "$file")" ...
• publish-dsh job：npm publish "$(realpath "$FILE")" ...

绝对路径让 npm 明确按本地 tarball 处理，不再探测 git 仓库。

验证

• PyYAML / Ruby YAML 解析通过（8 jobs）
• 两个 publish 脚本 bash -n 通过
• npm publish --dry-run（临时 tarball + 绝对路径）通过
• git diff --check 通过

下一步

合并后重置 release/v0.1.0 到最新 main，重跑正式发布；npm 六包和 GitHub Release 仍未发布。