M5 review fixes: key download step, honest update paths, ordered checklist, channel semantics

Co-Authored-By: Claude Fable 5 <noreply@anthropic.com>
Claude-Session: https://claude.ai/code/session_01QKxGW1raAWaqeU8WdHsMsp

docs/release-checklist.md

@@ -6,11 +6,12 @@
 2. 用 `--local-source` 重建 ISO（`packages/omarchy-pkgs-cn.patch` 已应用到 omarchy-pkgs）
 3. 验证 omarchy-dev 包含 cn 层（`tar -tf … | grep usr/share/omarchy/cn/`）
 4. QEMU OVMF UEFI 冒烟：进入安装器欢迎屏
-5. `sha256sum` → `SHA256SUMS.txt`；用发布子钥出三份分离签名（SUMS/ISO/release.json）
+5. `sha256sum` → `SHA256SUMS.txt`；签名 SUMS 与 ISO（发布子钥）
 6. SBOM 两份：syft（live airootfs）+ 离线仓库 .PKGINFO 采集
-7. `release.json`：版本、双向提交、包版本表、迁移列表、min_compatible、产物清单
+7. `release.json`（版本、双向提交、包版本表、迁移列表、min_compatible、产物清单）→ 签名 release.json
 8. 建 tag 与 Release，上传全部产物，Release Notes 写明上游基线与已知问题
-9. `cn/release` 数字 +1，提交
+9. 匿名回读已发布 ISO 并 sha256 复核 == 本地构建值
+10. `cn/release` 数字 +1，提交
 
 ## 版本规则