背景

RFC-0001 PR-2/PR-6 核心 + issue #588 决策 5 的落地：三坐标（atomgit-cli 裸名推荐 / @atomgit-cli/cli / @gitcode-cli/cli）长期并行发布。docs/PACKAGING.md 已立发布不变量（每次正式发布必须同版本发布全部三坐标并由流水线校验），当前流水线仅支持单坐标，本 issue 交付缺失的流水线能力。

交付范围

1. 按坐标组装：scripts/prepare-npm-package.sh 演进（或新增脚本）——一次构建产出三个 npm tarball，差异仅 package.json name/bin/描述；坐标 allowlist 硬编码校验，模板化笔误即 fail
2. release workflow：artifacts job 组装三 tarball 并纳入统一 checksum；npm publish job 以 OIDC Trusted Publishing 发布三坐标；发布后校验 job 断言三坐标 registry 版本一致
3. npm recovery 流程适配：npm_recovery 输入需支持按坐标恢复
4. 规范同步：spec/delivery/release-process.md 与 docs/PACKAGING.md 移除"交付前仅发布 @gitcode-cli/cli"过渡表述
5. 契约测试：tests/contracts/release_workflow_test.go 扩展多坐标断言

前置（人工）

• npm Trusted Publishing：atomgit-cli 与 @atomgit-cli/cli 在 npmjs.com 绑定 GitHub 仓库 atomgit-cli/cli + release.yml（维护者操作）

验收

• 本地 dry-run：三 tarball 组装正确（name/bin 差异、内容一致）
• 契约测试全绿
• 首次实战验证随 v0.14.0 发布执行

关联：issue #588、RFC-0001、PR !564（动态坐标客户端已合入）