feat(update): securely stage verified packages

docs/update-check.md

@@ -15,7 +15,7 @@
 
 ## 二、客户端读取的字段（`update_check.parse_update_info`）
 
-响应是一个 JSON 对象。以下字段**顶层 payload 或 `release` 子对象里都认**（客户端按 `payload.get(x) or release.get(x)` 取，顶层优先）：
+响应是一个 JSON 对象。T-544 兼容字段仍可位于顶层或 `release` 子对象；自动安装元数据由 `app/update_installer.py` 做第二层严格校验，生产服务应把同一版本的全部字段放进同一个 `release` 对象。
 
 | 字段 | 类型 | 说明 |
 | --- | --- | --- |
@@ -47,6 +47,8 @@
 - **非强制**：**不弹任何提示**，直接进主界面（当前无"温和可跳过提示"分支；如需另立任务）。
 - **失败放行**：接口断网、超时、返回非法 JSON、缺 `latest_version`/`min_supported_version` 时，客户端记诊断日志（`data/logs/cmshopee.log`，`step=startup_update_check`「已允许继续使用」）并**放行**，不因服务器故障导致全员打不开。
 
+T-616 已实现但尚未接入GUI的安全暂存层：仅接受受信任域名的 HTTPS 地址，流式下载到安装目录 `.cmshopee-update/`，校验zip大小和SHA-256，安全解压后再按包内manifest逐文件校验。任一步失败都不修改当前程序或 `data/`；GUI接入由T-618完成。
+
 ## 五、发版约定（服务端据此控制）
 
 自动安装使用的全部字段必须放在同一个 `release` 对象内，不得把版本取自一个对象、hash 取自另一个对象。构建脚本生成的 `release/release-metadata.json` 是服务端录入模板；发布人员只补 HTTPS `download_url`、强制策略和中文发布说明，不得手工改写 hash、大小、包格式或协议版本。