feat(update): securely stage verified packages

docs/04-architecture.md

@@ -499,6 +499,7 @@ cmshopee/
 │   ├── appconfig.py / db.py / excel.py / config.py / accounts.py / chrome.py
 │   ├── editor.py / ai.py / prompts.py / gui.py / workers.py
 │   ├── release_manifest.py   # 发布包文件清单、zip哈希与服务端元数据模板
+│   ├── update_installer.py   # 自动升级安全下载、解压、manifest校验与同盘暂存
 ├── main.py                    # GUI 启动入口：from app.gui import main
 ├── shopee待处理任务模板.xlsx   # 标准空 Excel 模板，可提交；业务填写后的副本不提交
 ├── data/                     # 用户本地数据根（整体 gitignore；打包更新时保留）
@@ -527,6 +528,7 @@ cmshopee/
 - 发布包格式固定为 `cmshopee-portable-v1`，入口为 `cmshopee.exe`，程序依赖集中在 `_internal/`。manifest 覆盖除自身外的所有程序文件，并记录规范化相对路径、字节数和 SHA-256。
 - 发布包只能包含程序根项目，`data/` 和 `.cmshopee-update/` 永远在替换边界之外。第一阶段预留签名字段，但 SHA-256 只负责传输完整性，不等同于发布者身份认证。
 - T-615 只提供可验证发布契约；启动门禁仍保持 T-544 的人工下载行为，直到后续下载、独立更新器、事务替换和失败熔断任务全部接入。
+- T-616 的下载暂存根固定为安装目录下 `.cmshopee-update/`，与 `data/` 完全隔离。远程zip必须经过HTTPS/受信任域名、声明大小、整包SHA-256、安全zip路径和包内manifest逐文件校验，才写 `pending.json`；此阶段不替换任何运行中程序文件。
 
 - CDP 交互事实变化同步第七节。
 - 正式代码只放 `app/` 包；根目录只保留 `main.py`、配置/数据目录、文档和原型目录，不新增正式业务模块。

docs/packaging.md

@@ -176,6 +176,8 @@ T-544 第一版目标是**启动时检查是否必须升级**，但仍不做自
 
 T-615 不改变客户端行为：T-544 仍只打开浏览器下载。客户端下载、解压校验、独立进程替换、回滚和重启分别由 T-616 至 T-619 实现。清单预留签名字段，但当前只验证完整性，不宣称已验证发布者身份。
 
+T-616 提供无Qt依赖的安全下载暂存层 `app/update_installer.py`。它只接受受信任域名的HTTPS，下载到 `<安装目录>/.cmshopee-update/downloads/`，完成大小与zip SHA-256校验后安全解压到同盘 `staging/`；路径穿越、符号链接、大小写重复、Windows保留名、ADS、异常压缩比、文件数/解压总量超限，以及manifest缺失或逐文件hash不一致都会拒绝。完整验证后才原子写 `pending.json`，当前程序目录和 `data/` 不变。
+
 ## 四、绝不打包的本地数据
 
 发布包里不能包含以下本地数据、密钥、业务数据或登录态：

docs/tasks/T-616.md

@@ -3,7 +3,7 @@ id: T-616
 title: 自动升级安全下载校验与同盘暂存
 phase: 8
 deps: [T-615]
-status: TODO
+status: DONE
 created: 2026-07-13
 ---
 
@@ -44,4 +44,6 @@ created: 2026-07-13
 
 ## 执行记录
 
-（完成后记录实现、验证命令与结果。）
+- 2026-07-13：新增无Qt依赖的 `app/update_installer.py`，实现受信任HTTPS下载、同盘part暂存、大小/hash校验、安全zip解压、manifest逐文件复核及可复用 `pending.json`。
+- 2026-07-13：补齐版本接口自动安装元数据透传；所有失败均发生在当前程序替换前，取消与无效pending会清理不完整状态，`data/` 不参与更新。
+- 2026-07-13：干净worktree验证通过：ruff、compileall、完整unittest（400项）和 `git diff --check`。

docs/update-check.md

@@ -15,7 +15,7 @@
 
 ## 二、客户端读取的字段（`update_check.parse_update_info`）
 
-响应是一个 JSON 对象。以下字段**顶层 payload 或 `release` 子对象里都认**（客户端按 `payload.get(x) or release.get(x)` 取，顶层优先）：
+响应是一个 JSON 对象。T-544 兼容字段仍可位于顶层或 `release` 子对象；自动安装元数据由 `app/update_installer.py` 做第二层严格校验，生产服务应把同一版本的全部字段放进同一个 `release` 对象。
 
 | 字段 | 类型 | 说明 |
 | --- | --- | --- |
@@ -47,6 +47,8 @@
 - **非强制**：**不弹任何提示**，直接进主界面（当前无"温和可跳过提示"分支；如需另立任务）。
 - **失败放行**：接口断网、超时、返回非法 JSON、缺 `latest_version`/`min_supported_version` 时，客户端记诊断日志（`data/logs/cmshopee.log`，`step=startup_update_check`「已允许继续使用」）并**放行**，不因服务器故障导致全员打不开。
 
+T-616 已实现但尚未接入GUI的安全暂存层：仅接受受信任域名的 HTTPS 地址，流式下载到安装目录 `.cmshopee-update/`，校验zip大小和SHA-256，安全解压后再按包内manifest逐文件校验。任一步失败都不修改当前程序或 `data/`；GUI接入由T-618完成。
+
 ## 五、发版约定（服务端据此控制）
 
 自动安装使用的全部字段必须放在同一个 `release` 对象内，不得把版本取自一个对象、hash 取自另一个对象。构建脚本生成的 `release/release-metadata.json` 是服务端录入模板；发布人员只补 HTTPS `download_url`、强制策略和中文发布说明，不得手工改写 hash、大小、包格式或协议版本。