feat: 增加 Linux 打包与 GitHub 构建发布链

新增 build-linux.js，直接从官方 zip 转写 tar 保住可执行位，
Windows 上也能构建 Linux 包。新增 build-release.js 作为发布件
唯一出口，排除便携版 data/、回读产物校验内容、生成校验和。
GitHub Actions 分测试、四目标打包、标签发布三段。

BUILD.md

@@ -19,7 +19,25 @@ npm run portable
 
 输出目录固定为 `dist/PeopleLib-windows-x64/`，不随版本号变化，重复构建会保留其中的 `data/` 目录。构建前需退出该目录下正在运行的 `PeopleLib.exe`，否则会因文件占用而中止。
 
-发布时将完整的 `dist/PeopleLib-windows-x64/` 目录压缩，上传到 GitHub Release，并使用 `v2.0.0` 形式的版本标签。应用根据最新 Release 标签判断是否需要更新。
+发布件不要手工压缩目录上传，用下面的发布打包入口生成，它会排除 `data/` 并附带校验和。
+
+### Linux（x64 / arm64）
+
+```bash
+npm run build:linux -- --arch x64
+npm run build:linux -- --arch arm64
+```
+
+产出 `dist/PeopleLib-linux-<arch>.tar.gz`，解压后运行其中的 `PeopleLib.sh`。
+
+脚本直接把官方 Electron zip 里的条目转写进 tar，不落地中间目录，因此在 Windows 上也能构建出可用的 Linux 包。可执行位存在 zip 的 external attributes 里，先解压到 NTFS 再打包会把这些位全部丢掉，产物解压后 `PeopleLib` 与 `chrome-sandbox` 都不可执行。
+
+多数发行版开启了非特权用户命名空间，无需额外配置。内核禁用该特性时（`kernel.unprivileged_userns_clone=0`），需给沙箱补 setuid：
+
+```bash
+sudo chown root:root PeopleLib-linux-x64/chrome-sandbox
+sudo chmod 4755 PeopleLib-linux-x64/chrome-sandbox
+```
 
 ### macOS（Apple Silicon）
 
@@ -45,6 +63,46 @@ xattr -dr com.apple.quarantine /Applications/PeopleLib.app
 
 图标 `icons/dist/book-ai-*.icns` 已随仓库提供。源 PNG 变更后用 `npm run icons:icns` 重新生成，该脚本在任意平台都能运行，不依赖 macOS 的 `iconutil`。
 
+## 发布打包
+
+`build-release.js` 是发布件的唯一出口，负责调用平台构建脚本、校验产物内容、生成校验和：
+
+```bash
+npm run release -- --platform windows --arch x64
+npm run release -- --platform macos   --arch arm64
+npm run release -- --platform linux   --arch x64
+npm run release -- --platform linux   --arch arm64
+```
+
+加 `--skip-build` 可复用已有的构建产物。输出落在 `dist/release/<platform>-<arch>/`，含发布件、`SHA256SUMS.txt` 与 `release-manifest.json`。
+
+发布前的校验是硬要求，不要跳过直接压缩目录上传：
+
+- Windows 便携版把用户书库放在程序同级 `data/`，本机构建目录里通常有内容，手工压缩会把整个书库连同笔记打进公开发布件。脚本按前缀排除 `data/`，并在打包后回读压缩包确认。
+- Linux 产物必须回读 tar 确认 `PeopleLib`、`PeopleLib.sh`、`chrome-sandbox` 带可执行位，丢了就是解压后点不开。
+- 三个平台都会检查有没有混入 `_test`。
+
+汇总多平台产物时用回验模式，它逐个比对哈希、体积与版本，再汇总到 `dist/release-upload/`：
+
+```bash
+npm run release -- --verify dist/release-downloads
+```
+
+## 持续集成
+
+`.github/workflows/build.yml` 在推送 `main`、提交 PR、打 `v*` 标签和手动触发时运行，分三个阶段：
+
+1. `validate`：`npm ci` 后跑单测与全部 Electron 集成套件。集成测试要开真实窗口，无头 runner 上用 `xvfb-run` 提供 X server。
+2. `package`：四个目标并行打包（`windows-2025`、`macos-15`、`ubuntu-24.04`、`ubuntu-24.04-arm`），各自调用 `npm run release`，产物作为 artifact 保留 30 天。
+3. `release`：仅在推送 `v*` 标签时执行，回验各平台校验和后创建 GitHub Release 并上传。
+
+两个容易踩的点：
+
+- 仓库 `.npmrc` 指向 npmmirror，GitHub runner 在境外拉不动，工作流用 `npm_config_registry` 与 `ELECTRON_MIRROR` 覆盖回官方源。
+- 标签名必须与 `package.json` 的 `version` 一致（`v2.0.0` 对应 `2.0.0`），且标签要指向被构建的那个提交，两处校验不过直接中止发布。
+
+Release 先建草稿、上传完再转正式，上传中途失败不会在页面上留下一个资产不全的版本。应用根据最新 Release 标签判断是否需要更新。
+
 ## 固定构建变体
 
 PeopleLib 采用固定构建变体，不使用远程开关在应用发布后改变功能范围：