固件发布门禁（fw-release-gate）

发布门禁 = 可脚本化的事实检查，不是"感觉可以了"。产物、命名、校验和、许可证、密钥、回滚预案、HIL 徽章——逐项过，任一失败即不发布。门禁没拦住坏产物的门禁等于没有。

Determine Task Type

1. 发布前门禁（主路径）：镜像要发渠道/用户 → Workflow A（检查单逐项过）。
2. 命名与版本决策：怎么命名、版本号怎么加、渠道字段怎么打 → Workflow B + naming-and-versioning。
3. 签名与密钥治理：用什么方案签、密钥放哪、多渠道怎么分 → Workflow C + 本页"签名与密钥治理"。
4. 完整性/复现性排障：sha256 对不上、两次构建不一致 → Workflow D。

Prerequisites / Preflight

# 产物与校验和工具就位（占位路径按项目替换）
ls -l bin/targets/*/ 2>/dev/null || ls -l out/ 2>/dev/null || echo "no artifact dir found"
command -v sha256sum || command -v shasum || echo "no sha256 tool"