feat: add trusted mirror update source

Version checks and downloads previously depended on GitHub Release. About & Updates now offers GitHub or a validated mirror source, keeps the selector beneath the startup-check switch, and disables it when startup checks are off.

The website resolves platform downloads from a bounded OSS release index with a GitHub fallback. Tagged releases publish and verify immutable OSS assets through OIDC before switching the latest-version index; deployment requires the configured Alibaba Cloud environment variables and role.

Release note: “关于与更新”新增 GitHub 与镜像节点选择，启动检查、手动检查和下载页使用同一可信来源；官网下载也可按系统、架构和安装包类型直接选择。

sites/README.md

@@ -39,25 +39,27 @@ node sites/scripts/validate.mjs
 node --check sites/app.js
 ```
 
-校验脚本会检查必需文件、页内链接、本地资源、关键产品文案、主题与响应式规则，以及下载入口是否始终指向官方最新 Release。
+校验脚本会检查必需文件、页内链接、本地资源、关键产品文案、主题与响应式
+规则，以及下载选择器是否从受信任的正式发布索引加载并保留 GitHub
+Release 回退入口。
 
 ## 下载入口
 
-官网正文不展示具体版本号，三个系统下载按钮直接指向 GitHub 最新正式
+官网正文不写死版本号，页面启动后读取最新正式发布索引。
+Windows、macOS 和 Linux 下载卡片分别提供处理器架构与安装包类型选择器，
+选择后直接下载经过发布校验的不可变版本对象。发布索引请求失败、
+格式无效或返回非受信任的官方下载地址时，按钮继续指向 GitHub 最新正式
 Release：
 
 ```text
 https://github.com/mesalogo/goodbuddy/releases/latest
 ```
 
-新版本发布后 GitHub 会自动更新该地址的目标，官网无需同步修改版本号
-或安装资产名称。用户在 Release 页面按系统与架构选择文件并核对
-SHA-256 清单。
-
 ## 文件
 
 - `index.html`：页面结构与简体中文内容
 - `styles.css`：语义令牌、浅深主题、焦点与响应式布局
 - `app.js`：主题、移动导航和当前章节
 - `assets/goodbuddy-light.png`、`assets/goodbuddy-dark.png`：由 `npm run icons` 与桌面应用同步生成的官方品牌图标
+- `assets/linux-plain.svg`：Devicon v2.17.0 提供的黑白 Linux 图标，许可见 `assets/devicon-LICENSE`
 - `scripts/validate.mjs`：无依赖静态检查