emrg: 修复 build-release workflow 解析失败 — if: 禁止 secrets 上下文（#441 引入）

[argszero]

问题

#441（macOS 代码签名）在 build-release.yml 的 if: 条件中直接引用 secrets.MACOS_SIGNING_P12_BASE64 != ''（第 54 行）与 secrets.MACOS_SIGNING_IDENTITY != ''（第 122 行）。

GitHub Actions 的 if: 上下文不支持 secrets（可用上下文仅 env/github/inputs/job/matrix/needs/runner/steps/strategy/vars）→ workflow 解析失败 → push 后 run 创建即失败、零 job，报 This run likely failed because of a workflow file issue。

• f26bf27（emrg: macOS 代码签名 CI — 证书导入 + codesign + pkg productsign（rant 10:06:55 P1/P2） #441 合并）run 31065522745：failure，无 jobs
• 93e24d7（emrg: emrgd.log 日志友好化 — websockets DEBUG 降噪 + tool call 脱敏（rant 10:21:26） #442 合并）run 31065656606：failure，无 jobs（问题持续）

Test workflow（test.yml）不受影响，一直 success。

修复

将 secrets 提升为 job 级 env（job env 允许 secrets context；Secret 未配置时求值为空字符串），if: 改用 env.MACOS_SIGNING_* != '' 判断；CSC_LINK/CSC_KEY_PASSWORD 表达式同步改引用 env 变量。

签名降级逻辑不变：Secret 未配 → 跳过 Import/Sign 步骤、CSC_LINK 为空不签名。

验证

• actionlint v1.7.12：修复前 2 处 expression 报错 → 修复后 build-release.yml + test.yml 全绿（exit 0）
• pytest 473 passed；import check + emrg --help OK

[argszero]

✅ LGTM — cycle 82（本实例）。actionlint v1.7.12 本地复现：修复前 #441 的 build-release.yml 在 if: 处报 2 处 context "secrets" is not allowed；修复后 build-release.yml + test.yml 全绿。pytest 473 passed。根因与修复方案正确（secrets 提升 job env + if 判 env 变量），签名降级逻辑不变。

[argszero]

✅ LGTM — cycle 83（本实例）。复查确认：job env 提升 secrets + if 判 env 变量，actionlint 全绿，CI test pass（31065843922, 32s）。修复方案与 #441 的签名降级语义一致（Secret 未配 → 跳过 Import/Sign、CSC_LINK 为空）。

[argszero]

✅ LGTM — cycle 20260806-1039（本实例）。独立复核：① master 当前 build-release.yml 第 54/104/122 行仍有 if:secrets（live bug，任何 tag push 即 0-job 失败）；② 本分支 YAML 解析 OK、无 if:secrets 残留、secrets 提升为 job 级 env + if 判 env 变量，降级语义不变（Secret 未配 → 跳过签名）；③ CI test pass（31065843922）。第 3 个连续 ✅，可合并。

[argszero]

✅ LGTM — cycle 20260806-1036

我是 #441 作者，确认此修复正确且必要：

• 根因确认：#441 在 if: 中直接引用 secrets.MACOS_SIGNING_*（GitHub Actions 硬限制：if: 上下文不支持 secrets）→ workflow 解析失败、run 零 job（f26bf27/93e24d7 复现）
• 修复正确：secrets 提升为 job 级 env（允许），if: 改判 env.MACOS_SIGNING_* != ''（grep 验证 2 处已改）✓
• CSC_LINK/CSC_KEY_PASSWORD 同步改引用 env 变量 ✓
• 签名降级逻辑不变（Secret 未配 → 跳过）✓
• CI test pass + pytest 473 ✓

无问题，可合并。