feat: 扩展发布打包支持多组件多架构多格式产物

- 新增 web 组件独立发布为 nex-web_<version>.tar.gz
- server 新增 arm64 架构、macOS universal、Windows arm64 产物
- desktop 新增 arm64 架构支持（Linux/Windows）
- Linux desktop 新增 AppImage、deb、rpm 安装包格式
- macOS desktop 新增 unsigned DMG 安装包
- 统一发布资产命名为 {component}_{version}_{platform}_{arch}.{ext}
- 新增 SHA256SUMS 校验和清单覆盖全部发布资产
- versionctl 新增 asset-name CLI 支持按参数生成资产文件名
- Makefile release target 重构为组件/平台/架构参数化
- GitHub Actions release workflow 扩展多组件多架构构建矩阵
- 同步更新 openspec 主规范（desktop-app/release-pipeline/workspace-command-flows）

openspec/specs/release-pipeline/spec.md

@@ -32,88 +32,116 @@
 
 ### Requirement: 三平台发布构建
 
-系统 SHALL 在发布流水线中构建 server 与 desktop 的 Linux、Windows、macOS 三个平台产物。
+系统 SHALL 在发布流水线中构建 server、web 与 desktop 的发布产物，并覆盖 Linux、Windows、macOS 的目标架构和格式矩阵。
 
-#### Scenario: Linux 发布构建
+#### Scenario: server 发布构建
 
-- **WHEN** 发布流水线执行 Linux 构建 job
-- **THEN** 系统 SHALL 在可访问 Go、Bun 和 Linux 桌面构建依赖的 shell 环境中执行 Linux 发布构建
-- **AND** 系统 SHALL 生成 Linux server 发布资产
-- **AND** 系统 SHALL 生成 Linux desktop 发布资产
+- **WHEN** 发布流水线执行 server 发布构建
+- **THEN** 系统 SHALL 生成 `nex-server_<version>_linux_amd64.tar.gz`
+- **AND** 系统 SHALL 生成 `nex-server_<version>_linux_arm64.tar.gz`
+- **AND** 系统 SHALL 生成 `nex-server_<version>_macos_amd64.tar.gz`
+- **AND** 系统 SHALL 生成 `nex-server_<version>_macos_arm64.tar.gz`
+- **AND** 系统 SHALL 生成 `nex-server_<version>_macos_universal.tar.gz`
+- **AND** 系统 SHALL 生成 `nex-server_<version>_windows_amd64.zip`
+- **AND** 系统 SHALL 生成 `nex-server_<version>_windows_arm64.zip`
 
-#### Scenario: Windows 发布构建
+#### Scenario: web 发布构建
 
-- **WHEN** 发布流水线执行 Windows 构建 job
-- **THEN** 系统 SHALL 在包含 MSYS2 / MINGW64 构建工具且可访问 Go 与 Bun 工具链的 shell 环境中执行 Windows 发布构建
-- **AND** 系统 SHALL 生成 Windows server 发布资产
-- **AND** 系统 SHALL 生成 Windows desktop 发布资产
+- **WHEN** 发布流水线执行 web 发布构建
+- **THEN** 系统 SHALL 使用 Bun 构建 `frontend/dist`
+- **AND** 系统 SHALL 将前端静态资源打包为 `nex-web_<version>.tar.gz`
+- **AND** server 发布资产 SHALL NOT 内置 Web 管理界面静态资源
 
-#### Scenario: macOS 发布构建
+#### Scenario: Linux desktop 发布构建
 
-- **WHEN** 发布流水线执行 macOS 构建 job
-- **THEN** 系统 SHALL 在可访问 Go、Bun 和 macOS 打包工具链的 shell 环境中执行 macOS 发布构建
-- **AND** 系统 SHALL 生成 darwin-amd64 server 发布资产
-- **AND** 系统 SHALL 生成 darwin-arm64 server 发布资产
-- **AND** 系统 SHALL 生成 macOS desktop universal 发布资产
+- **WHEN** 发布流水线执行 Linux desktop 发布构建
+- **THEN** 系统 SHALL 在可访问 Go、Bun、CGO、GTK3、Ayatana AppIndicator 和 Linux 打包工具链的环境中构建
+- **AND** 系统 SHALL 为 `amd64` 和 `arm64` 分别生成 tar.gz、AppImage、deb 和 rpm desktop 发布资产
+- **AND** Linux arm64 desktop 发布构建 SHALL 使用原生 arm64 runner 或等价的 arm64 Linux 构建环境
+
+#### Scenario: Windows desktop 发布构建
+
+- **WHEN** 发布流水线执行 Windows desktop 发布构建
+- **THEN** 系统 SHALL 在包含对应架构 MSYS2/MinGW 或等价 CGO 工具链的环境中构建
+- **AND** 系统 SHALL 生成 `nex-desktop_<version>_windows_amd64.zip`
+- **AND** 系统 SHALL 生成 `nex-desktop_<version>_windows_arm64.zip`
+
+#### Scenario: macOS desktop 发布构建
+
+- **WHEN** 发布流水线执行 macOS desktop 发布构建
+- **THEN** 系统 SHALL 在可访问 Go、Bun、Xcode 命令行工具、`lipo`、`hdiutil` 和 zip 打包工具的 macOS 环境中构建
+- **AND** 系统 SHALL 生成 `nex-desktop_<version>_macos_universal.zip`
+- **AND** 系统 SHALL 生成 `nex-desktop_<version>_macos_universal.dmg`
 
 ### Requirement: 三平台发布构建预检
 
-系统 SHALL 在正式执行各平台 `make release-assets-*` 前验证对应发布 job 的关键工具链可用性，并在环境不完整时快速失败且输出明确诊断。
+系统 SHALL 在正式执行各平台 release 构建前验证对应 job 的关键工具链可用性，并在环境不完整时快速失败且输出明确诊断。
 
 #### Scenario: Linux 预检通过后开始构建
 
-- **WHEN** Linux 发布 job 中的 `go`、`bun` 与 Linux 桌面构建依赖均可用
+- **WHEN** Linux 发布 job 中的 `go`、`bun`、`gcc`、`pkg-config`、GTK3、Ayatana AppIndicator 和 Linux 打包工具均可用
 - **THEN** 系统 SHALL 输出关键工具的版本信息或解析路径
-- **AND** 系统 SHALL 继续执行 `make release-assets-linux`
+- **AND** 系统 SHALL 继续执行对应 Linux release 构建
 
 #### Scenario: Windows 预检通过后开始构建
 
-- **WHEN** Windows 发布 job 中的 `go`、`bun` 与 MSYS2 构建工具均可用
+- **WHEN** Windows 发布 job 中的 `go`、`bun`、`make`、对应架构 CGO 编译器和 resource 生成工具均可用
 - **THEN** 系统 SHALL 输出关键工具的版本信息或解析路径
-- **AND** 系统 SHALL 继续执行 `make release-assets-windows`
+- **AND** 系统 SHALL 继续执行对应 Windows release 构建
 
 #### Scenario: macOS 预检通过后开始构建
 
-- **WHEN** macOS 发布 job 中的 `go`、`bun` 与 macOS 打包工具均可用
+- **WHEN** macOS 发布 job 中的 `go`、`bun`、`ditto`、`lipo`、`vtool` 和 `hdiutil` 均可用
 - **THEN** 系统 SHALL 输出关键工具的版本信息或解析路径
-- **AND** 系统 SHALL 继续执行 `make release-assets-macos`
+- **AND** 系统 SHALL 继续执行对应 macOS release 构建
 
-#### Scenario: 任一平台预检发现工具缺失
+#### Scenario: web 预检通过后开始构建
 
-- **WHEN** 任一平台发布 job 中存在关键工具不可用
+- **WHEN** web 发布 job 中的 `bun` 和前端构建依赖均可用
+- **THEN** 系统 SHALL 输出 Bun 版本信息
+- **AND** 系统 SHALL 继续执行 web release 构建
+
+#### Scenario: 任一预检发现工具缺失
+
+- **WHEN** 任一发布 job 中存在关键工具不可用
 - **THEN** 发布流水线 SHALL 在正式构建前失败
 - **AND** 系统 SHALL 在日志中标识缺失的工具链名称
 
 ### Requirement: 发布流水线 LFS 资产拉取
 
-发布流水线 SHALL 在所有会 checkout 仓库并参与版本校验或平台构建的 job 中拉取 Git LFS 真实文件，确保发布构建读取到真实二进制资产而非 LFS pointer 文本。
+发布流水线 SHALL 在所有会 checkout 仓库并参与版本校验、web 构建、server 构建或 desktop 构建的 job 中拉取 Git LFS 真实文件，确保发布构建读取到真实二进制资产而非 LFS pointer 文本。
 
 #### Scenario: 发布 job 获取真实 LFS 图标资产
 
-- **WHEN** 发布流水线执行 `prepare`、`build-linux`、`build-windows` 或 `build-macos` job 的 checkout 步骤
+- **WHEN** 发布流水线执行任一参与版本校验、web 构建、server 构建或 desktop 构建的 job 的 checkout 步骤
 - **THEN** checkout 步骤 SHALL 拉取 Git LFS 文件
 - **AND** `assets/icon.ico`、`assets/icon.icns`、`assets/icon.png` 和 `frontend/public/icon.png` SHALL 在后续步骤中表现为真实图标文件而非 LFS pointer 文本
 
+#### Scenario: 新增矩阵 job 获取真实 LFS 资产
+
+- **WHEN** 发布流水线新增 server、web、desktop、platform 或 arch 矩阵 job
+- **THEN** 该 job 的 checkout 步骤 SHALL 使用与现有发布 job 一致的 Git LFS 拉取配置
+
 ### Requirement: 发布资产图标预检
 
-发布流水线 SHALL 在正式执行各平台发布构建前校验关键图标资产可用，并在检测到 LFS pointer 或错误格式时快速失败且输出明确诊断。
+发布流水线 SHALL 在正式执行任何需要图标资产、前端 public 图标或 desktop 打包资源的发布构建前校验关键图标资产可用，并在检测到 LFS pointer 或错误格式时快速失败且输出明确诊断。
 
 #### Scenario: 图标资产为 LFS pointer
 
 - **WHEN** 发布资产预检发现关键图标文件内容为 Git LFS pointer 文本
-- **THEN** 发布流水线 SHALL 在执行平台发布构建前失败
+- **THEN** 发布流水线 SHALL 在执行对应 release 构建前失败
 - **AND** 系统 SHALL 在日志中标识对应图标文件需要拉取 Git LFS 真实内容
 
 #### Scenario: 图标资产格式无效
 
 - **WHEN** 发布资产预检发现关键图标文件不是对应格式的有效资源
-- **THEN** 发布流水线 SHALL 在执行平台发布构建前失败
+- **THEN** 发布流水线 SHALL 在执行对应 release 构建前失败
 - **AND** 系统 SHALL 在日志中标识格式无效的图标文件路径
 
 #### Scenario: 图标资产预检通过
 
 - **WHEN** `assets/icon.ico`、`assets/icon.icns`、`assets/icon.png` 和 `frontend/public/icon.png` 均为真实且格式可用的图标资产
-- **THEN** 发布流水线 SHALL 继续执行对应平台的 `make release-assets-*` 构建
+- **THEN** 发布流水线 SHALL 继续执行依赖这些资产的 release 构建
 
 ### Requirement: 发布流水线运行时兼容性
 
@@ -131,34 +159,54 @@
 
 ### Requirement: 版本化发布资产命名
 
-系统 SHALL 为 server 与 desktop 的发布资产使用包含统一版本号和目标平台信息的文件名，确保 Release 页面可直接区分产物用途与平台。
+系统 SHALL 为 server、web 与 desktop 发布资产使用包含统一版本号、组件、目标平台和目标架构信息的文件名，确保 Release 页面可直接区分产物用途、平台、架构和格式。
 
 #### Scenario: server 资产命名
 
 - **WHEN** 当前发布版本为 `1.2.3`
-- **THEN** Linux server 发布资产文件名 SHALL 包含 `1.2.3`、`linux` 和 `amd64`
-- **AND** Windows server 发布资产文件名 SHALL 包含 `1.2.3`、`windows` 和 `amd64`
-- **AND** macOS server 发布资产文件名 SHALL 分别包含 `1.2.3`、`darwin`、`amd64` 与 `1.2.3`、`darwin`、`arm64`
+- **THEN** Linux server 发布资产文件名 SHALL 为 `nex-server_1.2.3_linux_amd64.tar.gz` 和 `nex-server_1.2.3_linux_arm64.tar.gz`
+- **AND** macOS server 发布资产文件名 SHALL 为 `nex-server_1.2.3_macos_amd64.tar.gz`、`nex-server_1.2.3_macos_arm64.tar.gz` 和 `nex-server_1.2.3_macos_universal.tar.gz`
+- **AND** Windows server 发布资产文件名 SHALL 为 `nex-server_1.2.3_windows_amd64.zip` 和 `nex-server_1.2.3_windows_arm64.zip`
+
+#### Scenario: web 资产命名
+
+- **WHEN** 当前发布版本为 `1.2.3`
+- **THEN** web 发布资产文件名 SHALL 为 `nex-web_1.2.3.tar.gz`
+- **AND** web 发布资产文件名 SHALL NOT 包含平台或架构字段
 
 #### Scenario: desktop 资产命名
 
 - **WHEN** 当前发布版本为 `1.2.3`
-- **THEN** Linux desktop 发布资产文件名 SHALL 包含 `1.2.3` 和 `linux`
-- **AND** Windows desktop 发布资产文件名 SHALL 包含 `1.2.3` 和 `windows`
-- **AND** macOS desktop universal 发布资产文件名 SHALL 包含 `1.2.3` 和 `macOS`
+- **THEN** Linux desktop 发布资产文件名 SHALL 使用 `nex-desktop_1.2.3_linux_<arch>.<format>` 格式
+- **AND** Windows desktop 发布资产文件名 SHALL 为 `nex-desktop_1.2.3_windows_amd64.zip` 和 `nex-desktop_1.2.3_windows_arm64.zip`
+- **AND** macOS desktop 发布资产文件名 SHALL 为 `nex-desktop_1.2.3_macos_universal.zip` 和 `nex-desktop_1.2.3_macos_universal.dmg`
+- **AND** 发布资产文件名中的 macOS 平台字段 SHALL 使用 `macos` 而非 `darwin`
 
 ### Requirement: Draft Release 组装
 
-系统 SHALL 将发布流水线产物上传到 GitHub Draft Release，由人工确认后再公开发布。
+系统 SHALL 将发布流水线产物上传到 GitHub Draft Release，由人工确认后再公开发布，并 SHALL 生成覆盖全部发布资产的校验和清单。
 
 #### Scenario: 发布成功时创建 Draft Release
 
-- **WHEN** 版本校验通过且三平台发布资产构建完成
+- **WHEN** 版本校验通过且 server、web、desktop 的全部目标发布资产构建完成
 - **THEN** 系统 SHALL 创建或更新与该 tag 对应的 GitHub Draft Release
-- **AND** 系统 SHALL 上传 server 与 desktop 的全部发布资产
+- **AND** 系统 SHALL 上传 server、web 与 desktop 的全部发布资产
+- **AND** 系统 SHALL 上传 `SHA256SUMS`
+
+#### Scenario: 校验和覆盖全部资产
+
+- **WHEN** Draft Release 组装步骤生成 `SHA256SUMS`
+- **THEN** `SHA256SUMS` SHALL 包含除自身以外的全部发布资产文件
+- **AND** `SHA256SUMS` 中的文件名 SHALL 与实际上传的 release asset 文件名一致
 
 #### Scenario: 构建失败时阻止完成发布
 
-- **WHEN** 任一平台发布资产构建失败或版本校验失败
+- **WHEN** 任一目标发布资产构建失败、打包失败、校验失败、artifact 上传为空或版本校验失败
 - **THEN** 发布流水线 SHALL 失败
 - **AND** 系统 SHALL NOT 产生可直接公开的成功发布结果
+
+#### Scenario: artifact 缺失时快速失败
+
+- **WHEN** 任一构建 job 尝试上传 release artifact 但匹配不到目标文件
+- **THEN** 该 job SHALL 失败
+- **AND** Draft Release 组装 SHALL NOT 继续发布不完整资产集合