CI 发布令牌怎么配：Deploy Token、PAT 与仓库 ACL 最小权限

CI 用个人密码推包是供应链隐患。按 AngusRepo 产品口径区分 Deploy Token（repod_）与 PAT，配 repo:read/write、仓库 ACL，给出 Maven/npm/Docker 验证与轮换步骤。