fix(packaging): verify bundled startup dependencies

docs/packaging.md

@@ -13,7 +13,7 @@
 py -3.10 -m pip install -r requirements-build.txt
 ```
 
-`requirements-build.txt` 会先安装 `requirements.txt` 的运行依赖，再安装 PyInstaller。依赖必须安装到 Python 3.10 环境里，避免 PATH 上的 Python 3.7/3.12/3.14 打出不可比对的包。运行依赖固定使用 NumPy 1.26.4，以兼容 PySide6/Shiboken 6.5.3；正式打包前不得单独升级到 NumPy 2.x。
+`requirements-build.txt` 会先安装 `requirements.txt` 的运行依赖，再精确安装 PyInstaller 6.11.1、pyinstaller-hooks-contrib 2026.6、setuptools 80.9.0 和 backports.tarfile 1.2.0。依赖必须安装到 Python 3.10 环境里，避免 PATH 上的 Python 3.7/3.12/3.14 或未锁定的全局构建包装出不可比对的包。运行依赖固定使用 NumPy 1.26.4，以兼容 PySide6/Shiboken 6.5.3；正式打包前不得单独升级到 NumPy 2.x。
 
 ## 二、打包命令
 
@@ -38,7 +38,7 @@ dist\cmshopee\
 
 正式分发入口是 `release\蝦皮圈優化助手<APP_VERSION>.zip`。`dist\cmshopee\` 只是 PyInstaller 构建中间产物，不直接作为正式发包名称。
 
-当前 `requirements-build.txt` 锁定 PyInstaller 6.11.1，onedir 产物必须是 `cmshopee.exe` + `_internal\` 集中依赖布局。`scripts\build_exe.ps1` 会校验 `_internal\` 存在；缺失时直接失败，避免把不一致的打包环境误发给用户。
+当前 `requirements-build.txt` 锁定完整构建工具链，`cmshopee.spec` 还会显式检查并收集 `backports.tarfile`，避免 setuptools 的 `pkg_resources/jaraco` 运行时钩子因 vendored 依赖漏收集而在应用入口前崩溃。onedir 产物必须是 `cmshopee.exe` + `_internal\` 集中依赖布局。`scripts\build_exe.ps1` 会校验 `_internal\` 存在，并在组装 release 和压缩 ZIP 前运行 `cmshopee.exe --startup-smoke-test`；自检会完成 PyInstaller 运行时钩子与 GUI 模块导入后立即退出，不创建 GUI、不准备 `data\`、不检查更新或会员状态。自检非零退出或 30 秒超时会直接判定构建失败。
 
 发布包只包含程序文件和依赖文件：
 
@@ -107,7 +107,7 @@ release\
 
 1. 修改 `app/version.py` 中的 `APP_VERSION`。
 2. 运行语法检查和单元测试。
-3. 运行 `powershell -ExecutionPolicy Bypass -File scripts\build_exe.ps1`。
+3. 运行 `powershell -ExecutionPolicy Bypass -File scripts\build_exe.ps1`；确认日志包含 `Verified packaged startup smoke test`。
 4. 检查 `version.txt`、GUI 标题栏、`package-manifest.json`、压缩包文件名和 `release-metadata<APP_VERSION>.json` 的版本一致。
 5. 在无 Python 环境的 Windows 10/11 机器上解压 `蝦皮圈優化助手<APP_VERSION>.zip` 并启动验证。