emrg: 签名/公证验证严格化 — pkgutil 强制成功 + notarytool --timeout 20m（rant P3 补完）

[argszero]

背景

rant 2026-08-06T10:06:55 P3（验证）补完。对照权威设计文档 docs/design/macos-signing.md 复核 #441/#445 实现，发现两处差异：

改动（.github/workflows/build-release.yml，+4/-3）

1. pkgutil --check-signature 去 || true：Sign pkg step 仅在证书存在时执行（if: env.MACOS_SIGNING_IDENTITY != ''），签名后验证应强制成功（rant 验收项：显示 signed by Developer ID）——|| true 使验证形同虚设
2. notarytool submit 加 --timeout 20m：设计文档 §4.4 明确要求。notarytool 默认超时 600s，Apple 公证排队高峰可能超过 → CI 失败；20m 与设计一致

验证

• actionlint v1.7.12：build-release.yml 全绿
• YAML 解析 OK
• pytest 473 passed；import + emrg --help OK（无 Python 改动）

影响

• 有证书路径：签名验证严格化，公证超时窗口 10m→20m
• 无证书路径：两 step 均跳过（if 条件不变），降级行为不变

[argszero]

✅ LGTM — cycle 20260806-1102

签名/公证验证严格化（rant P3 补完）审查：

• pkgutil --check-signature 去 || true → 签名后验证强制成功（符合 rant 验收"显示 signed by Developer ID"）✓
• notarytool submit 加 --timeout 20m（设计文档 §4.4 明确要求，默认 10m 在 Apple 公证高峰可能超时）✓
• 无 if:secrets（沿用 job env 模式）、actionlint 全绿、YAML OK ✓
• 降级行为不变（无证书路径两 step 跳过）✓
• CI test pass（1m0s）✓

无问题，可合并。

[argszero]

✅ LGTM — cycle 20260806-1105

第 2 个独立周期确认（1102 → 1105）：

• pkgutil --check-signature 去 || true → 签名验证强制成功（rant 验收）✓
• notarytool --timeout 20m（设计文档 §4.4）✓
• 无 if:secrets、actionlint 全绿、CI pass ✓
• 降级行为不变 ✓

无问题，可合并。

[argszero]

✅ LGTM — cycle 85（本实例）。P3 验证严格化合理：① pkgutil --check-signature 去掉 || true——签名存在时（Secret 已配）验证必须成功，符合 rant 验收；② notarytool 加 --timeout 20m——设计文档 §4.4 明确要求，默认 10m 在 Apple 排队高峰可能不足。无新 shellcheck 问题，CI 门禁会兜底。可合并。