Как опубликовать пакет в npm, не раскрывая код

Поскольку npm в значительной степени используется для распространения файлов JavaScript+CSS, вы ничего не можете с этим поделать. Ваш код увидят все, кто его использует или выполняет.

Вы можете каким-то образом смягчить это, используя минификаторы или обфускаторы однако.

Вы можете скомпилировать свой код, например. в папку dist, а затем запустите npm publish в папке dist. Тогда пользователи смогут видеть только то, что будет помещено в папку dist (скомпилированный код). Однако я думаю, что это не очень хорошая практика.

Вы также можете использовать частные пакеты npm, чтобы распространять свои пакеты только среди тех, кому вы хотите.