feat(m190): 产物署名（PE VERSIONINFO）+ 清单 Ed25519 多签名与更新前验签

两件事：让「这是谁发的」在产物与清单上都留下可验证的痕迹。

① PE 版本资源（两个 bin）：`packaging/pe_version.rs` 是唯一口径（CompanyName
   「Unlucky Launcher Project」/ ProductName、FileDescription「Unlucky Launcher」/
   LegalCopyright「© 2026 … · Apache-2.0」/ 四段式版本号与 Cargo.toml 同源），被
   `crates/{cli,app-iced}/build.rs` 各 include 一次；非 windows 目标整段不执行。
   判据是读产物字节的 `packaging/check_pe_version.py`（CI 的 Windows 槽位）。

② 清单签名：`manifest.json` 旁边多一份 `manifest.json.sig`（分离签名，签的是清单**原始
   字节**），信封是 `{format, signatures:[{alg,key_id,sig,manifest_sha256}]}` —— 多签名数组，
   任意一条命中钉住的钥即放行（换钥窗口）。信任锚是 `crates/core/src/update/trust.rs`
   里的编译期公钥表（正式表为空 = fail-closed，测试钥只在 cfg(test)/update-test-source 里）。
   管线顺序改成「先验签、再解析」：`UpdateSource` 只交原文 + `.sig`，`verified_manifest`
   是唯一收口点，`Job::apply` 因此在取包**之前**就拒。新增五类错误分类
   （signature_missing / malformed / unknown_key / keyring_empty / invalid ），全部不可重试，
   CLI 的 hint 单独说人话。

③ Ed25519 验签自带实现（`update/ed25519/*`，零新依赖）：scope 不含 core 的 Cargo.toml，
   用 RFC 8032 §7.1 向量 + 可锻/小阶/非规范编码的拒绝用例钉住；签名侧是
   `packaging/sign_manifest.py`（纯 Python 参考实现，零 pip 依赖，`--self-test` 同向量）。

④ 守门：`release-publish.yml` 加签名步（`set +x`，只回显公钥；没 Secret / 钥没钉 / 签不上
   一律红 ⇒ 不出 Release）；`release-build.yml` 加 PE 资源读回；`release-guard.yml` 跑两个
   脚本的 `--self-test`。密钥纪律与轮换（旧钥签新钥）写在 `packaging/docs/signing.md`。

Cargo.lock：新增 winresource（build-dependency）与 toml 系；toml_datetime 1.1.2→1.1.3 是
toml 1.2.1 的硬要求（`cargo update --precise 1.1.2` 已实测被拒）。

crates/cli/Cargo.toml

@@ -38,3 +38,9 @@ workspace = true
 # M169：转发 core 的测试通道（`--features update-test-source` 才编进来，默认关）。
 # `ull update check/apply` 的端到端验收要靠它指向本地目录源。
 update-test-source = ["unlucky-core/update-test-source"]
+
+# M190：把版本资源写进 PE（Windows「属性 → 详细信息」里的发布者/产品/版权/版本）。
+# 只在 windows 目标上真跑（`build.rs` 先看 CARGO_CFG_TARGET_OS，其它平台直接返回），
+# 共享口径在 `packaging/pe_version.rs`（两个 bin 各 include 一次，署名不会漂）。
+[build-dependencies]
+winresource = "0.1"

crates/cli/build.rs

@@ -0,0 +1,10 @@
+//! `ull` 的 PE 版本资源（M190）。
+//!
+//! 只做一件事：调共享口径 [`emit_pe_version_resource`]（定义在 `packaging/pe_version.rs`，
+//! 两个 bin 共用同一份署名表）。非 windows 目标里那个函数会立刻返回，Linux/macOS 构建零影响。
+
+include!("../../packaging/pe_version.rs");
+
+fn main() {
+    emit_pe_version_resource("ull");
+}

crates/cli/src/commands/update.rs

@@ -77,7 +77,15 @@ fn job(ctx: &Ctx, dest: Option<PathBuf>) -> Job {
 /// **底层原因**（`digest_mismatch` / `network` / `invalid_manifest` / `io` …，据此决定「重试有没有意义」）。
 /// 以前原因只写在人读 message 里，脚本不解析散文就分不出来。
 fn failure(code: &'static str, action: &str, error: &UpdateError) -> CliError {
-    let hint = if error.is_retryable() {
+    // 签名类错误单独给一句：它们**不可重试**，而且绝不能靠「换个源/跳过校验」绕过——绕过一次
+    // 就等于把信任根拆了（见 `core::update::signature` 的文件头）。
+    let hint = if error.kind.is_signature() {
+        concat!(
+            "清单签名没通过，重试没有意义：signature_missing = 发布侧漏了签名；",
+            "signature_unknown_key / keyring_empty = 本构建的信任表里没有这把钥（升级启动器或等发布侧换钥）；",
+            "signature_invalid = 签名之后清单被改过。别绕过校验，等发布侧修"
+        )
+    } else if error.is_retryable() {
         "网络/占用类失败，过一会儿重试一次通常就好"
     } else {
         "这不是瞬时失败：清单或版本号本身有问题，等发布侧修"

crates/cli/tests/support/update_e2e.rs

@@ -81,6 +81,65 @@ fn asset_name(version: &str) -> String {
     )
 }
 
+/// 测试签名钥的种子（**公开**：只对 `update-test-source` 构建有意义，正式信任表里没有这把钥，
+/// 见 `crates/core/src/update/trust.rs::TEST_ONLY`）。
+const TEST_KEY_SEED: &str = "ull-m190-test-key-seed-000000001";
+/// 测试钥的 `key_id`（与 `trust.rs::TEST_ONLY` 一致）。
+const TEST_KEY_ID: &str = "test-only-key";
+
+/// 用 `packaging/sign_manifest.py` 给刚落盘的清单签一份 `.sig`（M190）。
+///
+/// 为什么走**真脚本**而不是在测试里再写一份签名：这样这套端到端用例同时是「发布侧签名脚本 ⇒
+/// 真二进制验签」的跨实现证据（Python 签、Rust 验）。脚本零第三方依赖，CI runner 与开发机都自带
+/// python3/python；找不到 python 时这套用例**直接红**（不静默跳过——跳过等于这条链没有证据）。
+fn write_signature(manifest_path: &Path) {
+    let script = Path::new(env!("CARGO_MANIFEST_DIR")).join("../../packaging/sign_manifest.py");
+    assert!(script.is_file(), "找不到签名脚本：{}", script.display());
+    let seed_hex: String = TEST_KEY_SEED
+        .as_bytes()
+        .iter()
+        .map(|byte| format!("{byte:02x}"))
+        .collect();
+    let secret = format!(r#"{{"key_id":"{TEST_KEY_ID}","seed_hex":"{seed_hex}"}}"#);
+    let mut command = None;
+    for candidate in ["python3", "python"] {
+        if std::process::Command::new(candidate)
+            .arg("--version")
+            .output()
+            .is_ok_and(|output| output.status.success())
+        {
+            command = Some(candidate);
+            break;
+        }
+    }
+    let python = command.unwrap_or_else(|| panic!("这套用例需要 python3/python 跑 {script:?}"));
+    let output = std::process::Command::new(python)
+        .arg(&script)
+        .arg("--sign")
+        .arg(manifest_path)
+        .env("ULL_MANIFEST_SIGNING_KEY", &secret)
+        .output()
+        .expect("跑签名脚本");
+    assert!(
+        output.status.success(),
+        "签名脚本失败：stdout={} stderr={}",
+        String::from_utf8_lossy(&output.stdout),
+        String::from_utf8_lossy(&output.stderr)
+    );
+    assert!(
+        manifest_path
+            .with_file_name(format!(
+                "{}.sig",
+                manifest_path
+                    .file_name()
+                    .map(|name| name.to_string_lossy().into_owned())
+                    .unwrap_or_default()
+            ))
+            .is_file(),
+        "签名脚本没产出 .sig"
+    );
+}
+
 /// 一份与 `packaging/tests/manifest.golden.json` **同字段**的清单。
 ///
 /// 字段一个不多一个不少：core 的 `deny_unknown_fields` 会把多余字段当清单损坏拒掉，所以这条
@@ -258,11 +317,11 @@ impl Fixture {
     /// 发一版，摘要/长度由调用方给（篡改用例用）。
     pub fn publish(&self, sha256: &str, size: u64) {
         std::fs::write(self.dist.path().join(&self.asset), &self.payload).expect("写产物");
-        std::fs::write(
-            self.dist.path().join("stable.json"),
-            manifest(&self.version, &self.asset, size, sha256),
-        )
-        .expect("写清单");
+        let path = self.dist.path().join("stable.json");
+        std::fs::write(&path, manifest(&self.version, &self.asset, size, sha256)).expect("写清单");
+        // M190：清单与签名成对落盘。篡改用例给的是「错的 sha/size」，签的是**改过之后**那份清单
+        // —— 那正是「清单本身可信、包体不对」的现场（摘要判据要独立于签名判据被证到）。
+        write_signature(&path);
     }
 
     /// 跑一条 `update` 子命令：`--data-dir` 指向临时数据根（与 GUI 一样由数据根派生暂存目录）。