Add release checklist, sync SLA, security response, channel command

Co-Authored-By: Claude Fable 5 <noreply@anthropic.com>
Claude-Session: https://claude.ai/code/session_01QKxGW1raAWaqeU8WdHsMsp

bin/omarchy-cn-channel

@@ -0,0 +1,29 @@
+#!/bin/bash
+# omarchy:summary=Show or set the OmarchyCN release channel
+# omarchy:args=[stable|beta|nightly]
+# omarchy:examples=omarchycn channel | omarchycn channel beta
+
+set -euo pipefail
+
+CHANNEL_FILE="$HOME/.config/omarchycn/channel"
+
+if (( $# == 0 )); then
+  if [[ -f $CHANNEL_FILE ]]; then
+    cat "$CHANNEL_FILE"
+  else
+    echo "beta (default)"
+  fi
+  exit 0
+fi
+
+case "$1" in
+stable | beta | nightly)
+  mkdir -p "${CHANNEL_FILE%/*}"
+  echo "$1" > "$CHANNEL_FILE"
+  echo "Channel: $1"
+  ;;
+*)
+  echo "Unknown channel: $1 (stable|beta|nightly)" >&2
+  exit 1
+  ;;
+esac

docs/release-checklist.md

@@ -0,0 +1,29 @@
+# Release Checklist
+
+每次发布 `<upstream>-cn.<n>` 按序执行，任一步失败即停止：
+
+1. `./test/all`：相对上游基线零新增失败；`test/shell.d/omarchycn-*.sh` 全绿
+2. 用 `--local-source` 重建 ISO（`packages/omarchy-pkgs-cn.patch` 已应用到 omarchy-pkgs）
+3. 验证 omarchy-dev 包含 cn 层（`tar -tf … | grep usr/share/omarchy/cn/`）
+4. QEMU OVMF UEFI 冒烟：进入安装器欢迎屏
+5. `sha256sum` → `SHA256SUMS.txt`；用发布子钥出三份分离签名（SUMS/ISO/release.json）
+6. SBOM 两份：syft（live airootfs）+ 离线仓库 .PKGINFO 采集
+7. `release.json`：版本、双向提交、包版本表、迁移列表、min_compatible、产物清单
+8. 建 tag 与 Release，上传全部产物，Release Notes 写明上游基线与已知问题
+9. `cn/release` 数字 +1，提交
+
+## 版本规则
+
+`<omarchy-upstream-version>-cn.<n>`；`min_compatible` 只在有破坏性迁移时前移。
+
+# 上游同步 SLA
+
+- `upstream-sync.yml` 每日拉取 basecamp/omarchy quattro，自动开同步 PR（含试合并冲突标注）
+- 常规变更：7 天内完成审查合并；上游安全修复：48 小时内
+- 合并后必须重跑第 1 步测试门禁
+
+# 安全响应
+
+- 接报渠道见 `SECURITY.md`，72 小时内确认
+- 涉及发布密钥泄露：按 `docs/release-signing.md` 轮换流程处理，吊销并公告
+- 修复发布走本清单完整流程，不走捷径