feat(update): add verifiable release manifest

docs/04-architecture.md

@@ -498,6 +498,7 @@ cmshopee/
 │   ├── cdp.py                 # CDP 底座（由根目录 cdp.py 迁入）
 │   ├── appconfig.py / db.py / excel.py / config.py / accounts.py / chrome.py
 │   ├── editor.py / ai.py / prompts.py / gui.py / workers.py
+│   ├── release_manifest.py   # 发布包文件清单、zip哈希与服务端元数据模板
 ├── main.py                    # GUI 启动入口：from app.gui import main
 ├── shopee待处理任务模板.xlsx   # 标准空 Excel 模板，可提交；业务填写后的副本不提交
 ├── data/                     # 用户本地数据根（整体 gitignore；打包更新时保留）
@@ -520,6 +521,13 @@ cmshopee/
 
 ## 十、架构纪律
 
+### 10.1 发布与自动升级边界
+
+- `app/version.py` 是应用版本唯一来源；`app/release_manifest.py` 生成 `package-manifest.json` 和 `release-metadata.json`，构建脚本不得自行维护另一套 hash 或路径规则。
+- 发布包格式固定为 `cmshopee-portable-v1`，入口为 `cmshopee.exe`，程序依赖集中在 `_internal/`。manifest 覆盖除自身外的所有程序文件，并记录规范化相对路径、字节数和 SHA-256。
+- 发布包只能包含程序根项目，`data/` 和 `.cmshopee-update/` 永远在替换边界之外。第一阶段预留签名字段，但 SHA-256 只负责传输完整性，不等同于发布者身份认证。
+- T-615 只提供可验证发布契约；启动门禁仍保持 T-544 的人工下载行为，直到后续下载、独立更新器、事务替换和失败熔断任务全部接入。
+
 - CDP 交互事实变化同步第七节。
 - 正式代码只放 `app/` 包；根目录只保留 `main.py`、配置/数据目录、文档和原型目录，不新增正式业务模块。
 - `app` 包内模块优先用相对导入（如 `from .cdp import CDP`）；根入口 `main.py` 用 `from app.gui import main`。