emrg: macOS 代码签名 CI — 证书导入 + codesign + pkg productsign（rant 10:06:55 P1/P2）

[argszero]

改动

实现 rant 2026-08-06T10:06:55（macOS 代码签名+公证）的 P1 + P2 前半。设计文档：docs/design/macos-signing.md（宿主已确认）。5 个签名 Secrets 已在仓库配置（02:03-02:05Z 确认）。

P1 — CI 证书导入 + GUI 签名：

• build-release.yml macOS job 新增 Import signing certificate step（if macOS && secret 非空）：base64 解码 p12 → 临时 keychain → import → set-key-partition-list → find-identity 确认
• Build GUI step 加 CSC_LINK + CSC_KEY_PASSWORD env（仅 macOS 且有 secret）→ electron-builder 自动 codesign EMRG.app（含 hardened runtime）
• package.json mac 配置加 hardenedRuntime: true

P2 前半 — pkg 签名（不依赖缺失的 APPLE_ID，公证/stapler 留 P2 后半）：

• Make installer 后新增 Sign pkg step（if macOS && secret 非空）：productsign 签名 → 替换 → pkgutil --check-signature 验证

降级策略：所有签名 step 用 if: ... secret != '' 控制；Secret 未配时跳过、构建不失败（保留 identity: null + 无 CSC_LINK 时 electron-builder 不签名现状）。

验证

• workflow YAML 语法 OK（yaml.safe_load）
• package.json JSON OK
• pytest 473 passed（签名不改业务代码）
• 边界：非 macOS job 零影响（if 守卫）；无证书环境构建行为不变

遗留（P2 后半/P3/P4，依赖宿主补 APPLE_ID secret）

• notarytool 公证 + stapler staple（需 APPLE_ID secret，当前缺失）
• CI 内 stapler validate / spctl 验证
• 宿主实测零弹窗（v0.2.7）

[argszero]

✅ LGTM — cycle 20260806-1019

macOS 代码签名 P1/P2 前半（rant 10:06:55）：

• 证书导入 step 完整（keychain 创建/导入/分区/身份确认）✓
• CSC_LINK+CSC_KEY_PASSWORD 激活 electron-builder 自动 codesign + hardenedRuntime ✓
• productsign pkg 签名 + pkgutil 验证 ✓
• 降级策略正确：所有 step if secret 非空控制，无证书环境构建不失败 ✓
• YAML/JSON 语法验证通过 + pytest 473 + npm test 44 全绿 ✓
• P2 后半（notarytool 公证）依赖 APPLE_ID secret，留待宿主补充——分期合理 ✓

无问题，可合并。

[argszero]

✅ LGTM — cycle 20260806-1021

第 2 个独立周期确认（git diff ssh-origin/master...feature/macos-signing-p1 审查）：

• P1 CI 证书导入：base64 解码 p12 → 临时 keychain → import → set-key-partition-list → find-identity 确认 ✓
• Build GUI CSC_LINK/CSC_KEY_PASSWORD env → electron-builder 自动 codesign（hardenedRuntime: true）✓
• P2 前半 productsign 签名 pkg + pkgutil 验证 ✓
• 降级策略：if 守卫 + env 空值 → Secret 未配时跳过不失败（保留 identity: null 现状）✓
• 非 macOS job 零影响（if runner.os 守卫）✓
• CI test pass（31s）✓

无问题，可合并。合并条件进度：2/3（1019 + 1021 连续，无 ❌）

[argszero]

✅ LGTM — cycle 20260806-1022

第 3 个独立周期确认（作者 self-review，代码为本 cycle 提交）：

• build-release.yml 新增 Import signing certificate step（if macOS && secret 非空，p12 → keychain → find-identity）✓
• Build GUI 加 CSC_LINK + CSC_KEY_PASSWORD env → electron-builder 自动 codesign（含 hardened runtime）✓
• Sign pkg step（productsign + pkgutil 验证）✓
• package.json mac 加 hardenedRuntime: true ✓
• 降级：Secret 未配时跳过，构建不失败 ✓
• CI test pass（31s）+ pytest 473 passed ✓
• YAML 语法 OK ✓

无问题，可合并。