feat: add app update checks and standalone release publishing panel

docs/android-mvp-validation.md

@@ -1,6 +1,6 @@
 # Android 首版验证记录
 
-当前版本为0.7.5+23，兼容本科考试未发布考场，并新增可选HTML反馈附件，验证见 [0.7.5记录](tpschedule-0.7.5-validation.md)。两例真实课表缺失字段问题待新页面定位。本科接入记录见 [0.7.0记录](tpschedule-0.7.0-validation.md)。下文为首版历史记录。
+当前版本为0.7.6+24，应用更新检查与后台说明见[0.7.6记录](tpschedule-0.7.6-updates.md)。本科考试兼容和HTML反馈的验证见[0.7.5记录](tpschedule-0.7.5-validation.md)。两例真实课表缺失字段问题待新页面定位。本科接入记录见[0.7.0记录](tpschedule-0.7.0-validation.md)。下文为首版历史记录。
 
 日期：2026-10-13。测试环境：Flutter 3.47.7 / Dart 3.13.5 / JDK 17；Android 16 API 36，Pixel 7 模拟器，1080×2400。首版版本 0.1.0+1，包 ID com.example.hepan_everyday，最低 Android 7.0（API 24）。
 

docs/tpschedule-0.7.6-updates.md

@@ -0,0 +1,41 @@
+# TPSchedule 0.7.6+24：应用更新检查与发布后台
+
+日期：2026-10-24。用户要求启动或手动检查服务器版本，提示更新说明并在浏览器下载；管理员通过app.glowtps.cn/update维护版本号、说明及链接。服务器已有Ubuntu/1Panel/雷池，反馈服务更新暂缓，因此新服务独立部署，不修改现有反馈功能或SMTP配置。本次没有登录服务器或执行公网部署。
+
+## APP行为
+
+Android首次显示首页后等待2秒再发起一次检查，最长约13秒；检查与启动初始化分离，不延迟本地课表显示。自动检查网络失败、服务器尚未部署或没有新版本时不弹错误。个人页面增加“检查更新”，查询期间显示进度、避免重复请求；手动查询明确提示最新或失败。
+
+查询默认HTTPS地址https://app.glowtps.cn/v1/updates/android，校验schema_version=1和准确application_id，仅将大于当前构建号的发布记录视为新版本。读取容量64KiB，拒绝重定向、错误状态、HTML挑战页面、其他应用、无效版本和不安全下载地址。无需传递学校Cookie、用户身份、课表或设备标识。
+
+发现新版显示版本与纯文本更新说明，支持稍后处理；立即更新通过安卓ACTION_VIEW打开公开HTTPS链接。浏览器不存在或打开失败时提供可复制链接。没有添加APK静默安装、安装来源权限或后台通知SDK。更新弹窗不覆盖当前其他路由的操作页面，手动入口始终可重新检查。较长说明可在小屏上滚动，操作按钮固定可用。
+
+新增安卓MethodChannel只接受HTTPS、不含账户密码的链接，不接入学校WebView。包名仍为com.tpschedule.app，签名配置不变。APK实际构建与证书校验记录在交付目录说明。
+
+## 更新服务器
+
+独立FastAPI服务，Compose项目tpschedule-updates，本机127.0.0.1:18081→容器8000，使用自己的update-data持久卷。原反馈服务18080和.env、SMTP、登记文件不变。后台密码以scrypt哈希保存在服务器.env，服务器命令manage.py交互生成哈希和随机会话密钥；这些值不放入APP和交付源码。
+
+后台使用安全Cookie、8小时会话、CSRF和准确Origin校验，登录限制每地址10次/15分钟及总体100次/15分钟，密码计算最多2个并发。请求体96KiB上限。页面输出转义、响应禁止缓存，表单限制在同一站点，禁用脚本和嵌入。管理员可编辑版本、构建号、说明、公开HTTPS链接；不上传APK、不在服务器访问该链接。
+
+JSON文件通过同目录临时文件、fsync和原子替换写入。构建号和版本不能倒退，同一版本/构建允许改说明及链接；隐藏的修订号阻止旧页面覆盖其他发布。校验失败保留输入，旧发布记录不改；损坏存储返回503，不伪装成无更新。公开API不暴露管理员配置。
+
+管理员页面实际模板已渲染并通过无界面Edge查看排版，预览只含合成版本和example.com链接，不代表已经部署。详细部署及日常发布操作见[服务器说明](../server/updates/README.md)，包含适用于原雷池→OpenResty10080链路的三个location。
+
+## 验证与限制
+
+APP回归覆盖版本比较、并发去重、空发布、错误响应/应用标识/URL/容量、浏览器桥接参数、启动后检查、手动错误与最新提示、稍后、浏览器失败链接回退、销毁取消启动计时器，以及小屏长说明。
+
+服务端18项测试覆盖首次未发布、匿名后台、登录、发布与重启持久化、字段限制、CSRF/Origin、Unicode恶意输入、错误密码限速、伪造Cookie、过大请求、构建号单调、旧表单冲突、说明转义、失败保留输入、退出及文件损坏。原反馈服务66项回归通过，合计84项。
+
+Flutter静态分析无问题，完整套件291项通过。未新增APP依赖，沿用现有Flutter/Dart工具链及服务端已验证版本。没有验证公网代理、真实下载链接、管理员实际密码或生产容器构建；这些须按部署说明由用户操作后确认。
+
+0.7.5及之前不含更新模块，第一轮仍需手动覆盖安装0.7.6。今后发布更高构建号后，已接入模块的APP才能获得提示；这不是关闭APP后的远程系统通知。后台版本信息必须对应真正构建并上传的同签名APK，不能只改数字而链接旧包。
+
+## Android交付验证
+
+正式版与调试版均构建通过，applicationId=com.tpschedule.app、versionName=0.7.6、versionCode=24，最低API24、目标API36。调试构建首次遇到本地Gradle不可变转换缓存校验失败；停止守护进程并将受影响缓存隔离到本工程.tools后重建成功，未修改源码、依赖或签名。
+
+正式APK60270499字节，SHA256为0752E5E338B648611B7740926EFDECF7DCE15D5ABBB0E2BDBE90ACEF9AE1D542。apksigner验证通过，与0.7.5证书逐字节相同，证书SHA256仍为AF5C21B1BA1E48E461D8EA38DF0FE1C3653F64EB7E8E7728BAE6E5D988BA0D0A。私钥与登记冻结文件在打包阶段另做完整性校验。
+
+API36专用模拟器安装正式包成功，软件渲染测试模式下冷启动Status=ok、LaunchState=COLD、TotalTime=3107ms，首页截图正常、进程持续存在且无AndroidRuntime启动异常。实际手机仍使用原默认渲染方式；模拟器数据不代表手机启动耗时。测试后已关闭本任务创建的emulator-5556。