# Release Checklist

每次发布 `<upstream>-cn.<n>` 按序执行，任一步失败即停止：

1. `./test/all`：相对上游基线零新增失败；`test/shell.d/omarchycn-*.sh` 全绿
2. 用 `--local-source` 重建 ISO（`packages/omarchy-pkgs-cn.patch` 已应用到 omarchy-pkgs）
3. 验证 omarchy-dev 包含 cn 层（`tar -tf … | grep usr/share/omarchy/cn/`）
4. QEMU OVMF UEFI 冒烟：进入安装器欢迎屏
5. `sha256sum` → `SHA256SUMS.txt`；签名 SUMS 与 ISO（发布子钥）
6. SBOM 两份：syft（live airootfs）+ 离线仓库 .PKGINFO 采集
7. `release.json`（版本、双向提交、包版本表、迁移列表、min_compatible、产物清单）→ 签名 release.json
8. 建 tag 与 Release，上传全部产物，Release Notes 写明上游基线与已知问题
9. 匿名回读已发布 ISO 并 sha256 复核 == 本地构建值
10. `cn/release` 数字 +1，提交

## 版本规则

`<omarchy-upstream-version>-cn.<n>`；`min_compatible` 只在有破坏性迁移时前移。

# 上游同步 SLA

- `upstream-sync.yml` 每日拉取 basecamp/omarchy quattro，自动开同步 PR（含试合并冲突标注）
- 常规变更：7 天内完成审查合并；上游安全修复：48 小时内
- 合并后必须重跑第 1 步测试门禁

# 安全响应

- 接报渠道见 `SECURITY.md`，72 小时内确认
- 涉及发布密钥泄露：按 `docs/release-signing.md` 轮换流程处理，吊销并公告
- 修复发布走本清单完整流程，不走捷径