feat(release):完成双 release 运维闭环

docs/architecture/assetbundle.md

@@ -156,7 +156,7 @@ catalog 仍按“明确不支持”处理，不把低保真路径伪装成完整
 
 1. 官方同步完成后可配置触发导入 CAS + ResourceRepository（已具备 `--import-repository` / `BAT_IMPORT_REPOSITORY=1`）。
 2. ResourceRepository 已保存官方 manifest 资源的类型、路径、hash、size 和 metadata；metadata 包含 release、平台、bundle path、parse status、TextAsset 名称、TextUnit 数量/格式。
-3. 支持 RPC/CLI 查询资源、bundle、TextAsset、解析错误和缓存状态；当前 `resource.index` 会返回资源 metadata，`parse-status` 会返回 TextUnit 索引和队列摘要，`parse-text-units` / `parse-errors` 会按当前 release 查询明细，`localized-status` 会校验 patch manifest。
+3. 支持 RPC/CLI 查询资源、bundle、TextAsset、解析错误和缓存状态；当前 `resource.index` 会返回资源 metadata，`parse-status` 会返回 TextUnit 索引和队列摘要，`parse-text-units` / `parse-errors` 会按当前 release 查询明细，`localized-status` 会区分 patch manifest contract 与 artifact integrity，`release.status/list/distribution/cleanup` 提供 Rust-owned 双 release 视图和安全运维操作。
 4. schema 迁移可重复执行；当前 SQLite 已有 `crc` 和 `metadata_json` 兼容迁移。
 
 验收：
@@ -175,7 +175,7 @@ catalog 仍按“明确不支持”处理，不把低保真路径伪装成完整
 2. 已支持 UnityFS TextAsset、TypeTree string field 和 managed-reference string field 的 localized patch 操作；普通 ZIP 条目在 `archive_entry` 可验证、内层可重解析时会解包、重建并重写外层 ZIP，路径穿越、symlink、混合直接/ZIP patch 和无效内层 bundle 明确失败。
 3. MonoBehaviour/ScriptableObject 字段替换必须依赖 P2 字段级解析结果；generic manifest 不把 UnityFS 定位信息扁平化。
 4. Patch 产物写入配置化汉化发布根下的 `.staging/<id>`，校验通过后发布到 `versions/<id>` 并切换 `current`；rollback 按 manifest 恢复上一 release。
-5. 成功后发布状态从 `not_localized` 切到 `localized`；`localized.status` 要求 state、current symlink 和 patch manifest 同时匹配当前官方 release，ZIP 外层文件和内层 UnityFS 也必须通过发布后重解析校验。
+5. 成功后发布状态从 `not_localized` 切到 `localized`；`localized.status` 要求 state、current symlink 和 patch manifest 同时匹配当前官方 release，并分别报告 schema/contract 与 artifact integrity，ZIP 外层文件和内层 UnityFS 也必须通过发布后重解析校验；current 仍存在但产物损坏时返回 `localized.degraded`，不自动修复。
 
 验收：
 

docs/architecture/official-resource-backend.md

@@ -244,7 +244,7 @@ trusted 和 release/TextUnit/provider/run provenance；`translation.tasks` 优
 13. 发布完成后先对比上一完整 release 和当前 release 的 `official-download-manifest.json`，写出 `official-resource-changes.json` 和 `crowdin-translation-handoff.json`。同一 destination 只有 size 或 BLAKE3 变化才算 modified；新增+变更资源进入解析/翻译 handoff，删除资源只进入差异记录。当前只预留 Crowdin 本地 handoff，不发外部 API 请求。
 14. 随后刷新 active release 下的 `official-parse-cache.json` 和 `official-textunit-index.json`，并从 Added/Modified 资源、parse cache 与 TextUnit 明细索引派生 `official-textunit-tasks.json`、`crowdin-textunit-queue.json` 和版本化的 `translation-tasks.sqlite`；up-to-date 轮询在已有有效解析缓存、TextUnit 明细索引和 TextUnit 队列时只读取摘要，不重复解析，重新同步队列时保留已有 worker 状态。
 15. 若启用 `--import-repository`，已校验 release 会被导入 CAS + `ResourceRepository`，并可经 `resource.index` 查询。历史 release 候选失效时，已有 CAS 对象会先经过完整性和元数据校验，再增加 release 引用并原子物化；当前 release 在 `official-cas-reuse-references.json` 中记录引用，staging/release 清理时递减，失败则回退网络并保留诊断。
-16. 官方同步报告默认给出 `localized_release_status=not_localized`，表示原版资源已发布、汉化资源未发布；generic manifest 驱动的 Binary/JSON/Text 以及当前支持的 UnityFS TextAsset、TypeTree string field 和 managed-reference string field patch 发布成功并通过 `localized-patch-manifest.json`、current symlink、release ID 及 ZIP 内层最终重解析校验后，`localized.status` 才返回 `localized`，表示原版和汉化两套资源都已发布。`translation.proofread` 只会把 workflow 标记成 `manual_proofreading` / `translation.manual_proofreading`，不会回退已发布汉化 release 的发布状态。
+16. 官方同步报告默认给出 `localized_release_status=not_localized`，表示原版资源已发布、汉化资源未发布；generic manifest 驱动的 Binary/JSON/Text 以及当前支持的 UnityFS TextAsset、TypeTree string field 和 managed-reference string field patch 发布成功并通过 `localized-patch-manifest.json`、current symlink、release ID 及 ZIP 内层最终重解析校验后，`localized.status` 才返回 `localized`，表示原版和汉化两套资源都已发布。`localized.status` 分开返回 `patch_manifest_contract_status` 与 `artifact_integrity_status`；state/current/identity 存在但文件被截断或手工修改时返回 `localized.degraded`，只读检查不回滚、不删除、不修复。`translation.proofread` 只会把 workflow 标记成 `manual_proofreading` / `translation.manual_proofreading`，不会回退已发布汉化 release 的发布状态。
 
 维护期特殊分支：如果官方 launcher/server-info 已经指向新资源根，但 client-patch seed marker 或必需 seed catalog 仍返回 403/404 等未开放状态，`bat` 返回 `waiting_for_official_resources`，保留现有 `current`，不创建失败 staging；若本轮启用 `--auto-discover`，会在 `<output>/official-launcher-bootstrap.pending.json` 写入待处理 launcher bootstrap 证据，供后续排障和自研客户端开发使用。
 
@@ -345,8 +345,9 @@ JSON-RPC 2.0 服务，是面向上层服务（Go 层）的**主要跨语言边
 - 方法命名空间与实现状态、请求/响应示例见
   `docs/reference/rpc-backend-api.md`：`daemon.status/logs/stop/restart/reload/refresh/doctor`、
   `resource.state/sync/verify/repair/manifest/list/index`、`parse.status/text_units/errors`、
-  `translation.tasks/handoff/task.update/proofread`、`localized.status`、`catalog.*` 与
-  `task.status/list/cancel/logs` 已实现；文件级 `patch.apply` / `unityfs.patch_*`
+  `translation.tasks/handoff/task.update/proofread`、`localized.status`、
+  `release.status/list/distribution/cleanup`、`catalog.*` 与 `task.status/list/cancel/logs`
+  已实现；文件级 `patch.apply` / `unityfs.patch_*`
   和受支持 localized publish/rollback 已实现，`archive_entry` 可验证时会重写
   外层 ZIP；通用发布级 patch 与复杂 UnityFS 语义编辑仍待后续；
   `task.create` 按设计暂不开放通用任务入口；
@@ -357,7 +358,7 @@ JSON-RPC 2.0 服务，是面向上层服务（Go 层）的**主要跨语言边
 
 - Rust `bat` / daemon 是资源生产者和状态拥有者；Go `bat-api` 是资源读侧、
   bootstrap 和 HTTP 分发入口。二者之间的稳定边界是 `bat.sock` RPC 和
-  `resource_root` 中已发布的只读文件。
+  Rust 选择后返回的 `resource_root` 中已发布的只读文件。
 - Go 层负责：资源 bootstrap、资源内容分发（`cmd/bat-api`）、HTTP API 进程配置、
   以及通过 `internal/backendrpc` 作为 RPC client 调用本机 daemon（连接
   `bat.sock`，每行一个 JSON-RPC 请求/响应）。`cmd/bat` 仍是试验骨架，不是产品级用户 CLI。
@@ -371,6 +372,11 @@ JSON-RPC 2.0 服务，是面向上层服务（Go 层）的**主要跨语言边
     manifest 中的 BLAKE3，响应包含 Last-Modified、Accept-Ranges 和长期缓存头。
   - 版本/清单发现优先走 RPC：先 `daemon.status`，再 `daemon.doctor`，再
     `catalog.status` / `resource.manifest`（可用 `--socket` 指定 socket 文件）。
+  - `/v1/releases`、`/v1/distribution` 和受保护的 `/admin/releases/status`、
+    `/admin/releases` 只转发 `release.status/list/distribution` 的 Rust typed
+    结果；localized 或历史分发不会绕过 Rust 完整性判断。
+  - 受保护的 `/admin/control/release-cleanup` 只转发 Rust `release.cleanup`；
+    先 dry-run 获取 `plan_id`，执行时由 Rust 重验证引用、路径和 current 保护。
   - 支持 `.env` / 环境变量配置监听端口、public base URL、RPC socket 和 RPC
     刷新周期，并预留 database/redis 键供后续 API 持久化；**不**负责资源自动拉取。
   - 可选改写 server-info 中的 `AddressablesCatalogUrlRoot` 指向自身；不伪装

docs/architecture/resource-release-layout.md

@@ -8,6 +8,7 @@
   - inventory 抽取：`adapters/src/official/inventory.rs`
   - 落盘与 manifest：`infrastructure/src/official_download.rs`（`destination_for_url`）
   - 发布布局：`infrastructure/src/official_update.rs`
+  - 双 release 视图、分发选择与清理：`infrastructure/src/release_ops.rs`
   - 分发：`cmd/bat-api` + `internal/api`（见 `docs/reports/GO_STATUS.md`）
 
 ---
@@ -17,7 +18,7 @@
 | 角色 | 组件 | 职责 |
 |---|---|---|
 | 同步 / 运维（近乎全自动） | Rust `bat` | auto-discover、拉取、校验、发布、watch/daemon、RPC 后端 |
-| 资源 bootstrap / 只读分发 | Go `bat-api` | 同环境经 `bat.sock` 发现已发布版本和 `resource_root`，提供 `/v1/bootstrap`、server-info 改写和官方 CDN path 字节 |
+| 资源 bootstrap / 只读分发 | Go `bat-api` | 同环境经 `bat.sock` 读取 Rust 选择的已验证版本和 `resource_root`，提供 `/v1/bootstrap`、server-info 改写、官方/localized CDN path 字节和 release 管理转发 |
 | 试验 CLI | Go `cmd/bat` → `bin/bat-go` | 非产品；禁止与 Rust `bat` 重名 |
 
 **禁止**：把已安装客户端目录或 `/home/wanye/D/BlueArchive` 当作生产输入；真实全量样本优先服务器 release 或 `/tmp` 隔离目录。
@@ -85,13 +86,34 @@
 - `not_localized`：官方原版资源已经完成下载、校验和发布，汉化资源尚未发布；这是官方同步完成后的默认状态。
 - `localized`：同一官方版本的原版资源和汉化资源都已发布，生产侧可以同时提供两套资源。
 
-### 2.1 读侧 vs 写侧
+### 2.1 双 release 读写边界
+
+Rust `bat` 的 `release.status` 是 official/localized 的统一只读视图，基于既有
+version state、current symlink、release manifest、文件系统和必要的 CAS/reference
+元数据计算，不建立第二个 release 数据库。`release.list` 返回两个 namespace 的当前
+与历史 release，包含稳定 ID、created/published、source official relation、生命周期、
+`rollback_available`、manifest contract、artifact/distribution integrity、
+`stale`/`damaged`/`referenced`/`unknown`、rollback previous 和诊断；缺少 generic manifest 的
+旧 localized release 保留为 `legacy`/`unknown`，不自动改写。
+
+`release.distribution` 的默认 channel 是 `official`。只有当前或显式历史、路径归属安全、
+source relation 正确且 manifest/artifact integrity 通过的 release 才能被选择；staging、
+损坏、缺失、symlink/path escape 或未验证历史项不会回退到另一 channel。返回的
+`resource_root` 和 manifest entry 由 Rust 决定，Go 只做 typed forwarding。
+
+`release.cleanup` 先生成 dry-run 计划和 `plan_id`，执行时重新计算并比对计划。current、
+rollback previous、active/in-progress、localized source official、state/manifest/CAS
+reference、无法确认 ownership 的对象均保留；只删除重新验证后仍为普通目录且确定无引用的
+历史 release。它不改变 current，不执行 rollback，也不负责自动 repair；staging 默认保留
+以避免删除未持久化任务。
+
+### 2.2 读侧 vs 写侧
 
 | 阶段 | 根目录 |
 |---|---|
 | 下载写入 | `<output>/.staging/<id>` |
 | 发布完成 | rename 到 `versions/<id>`，再切换 `current` |
-| 生产读取 / bat-api | RPC 给出的 `version.resource_root`；通常等价于 `current` 解析后的 versioned 目录 |
+| 生产读取 / bat-api | RPC 给出的已验证 `resource_root`；默认等价于 official `current` 解析后的 versioned 目录，localized 必须显式选择 |
 
 每个 release 的 `official-download-manifest.json` 是历史复用的索引。新 staging
 按规范化 destination 查找候选，并重新验证 manifest 中的 size、BLAKE3 和 ZIP
@@ -138,7 +160,10 @@ GET {public-base-url}/prod-clientpatch.bluearchiveyostar.com/<root_token>/...
     ≡ 磁盘 <resource_root>/prod-clientpatch.bluearchiveyostar.com/<root_token>/...
 ```
 
-默认仅服务 **download manifest 索引内且 Present + size 匹配** 的文件。
+默认仅服务 **official download manifest 索引内且 Present + size 匹配** 的文件。需要
+localized 或历史 release 时，调用 `release.distribution` 选择 Rust 已验证的
+`resource_root`，再由 `/v1/distribution` 或带 `channel`/`release_id` 的 CDN path
+转发；Go 不在本地判断健康度，也不回退到 official。
 
 ### 3.3 launcher 资源引导兼容
 

docs/guides/bat-workflows.md

@@ -34,6 +34,42 @@ bat res pull --auto-discover --watch --interval 1h \
 
 资源下载默认使用 8 个独立 worker，允许范围为 `1..=256`。worker 完成当前 URL 后立即领取共享队列中的下一个任务，进度按完成顺序统计，最终报告仍按计划顺序输出。
 
+## Release 查询与清理
+
+双 release 运维由 Rust `bat` 通过 `bat.sock` 提供，不新增平行顶层 CLI：
+
+```bash
+# 查看 official/localized 当前、历史、source relation 和完整性
+printf '{"jsonrpc":"2.0","id":1,"method":"release.status"}\n' \
+  | socat - UNIX-CONNECT:/tmp/bat-state/bat.sock
+printf '{"jsonrpc":"2.0","id":2,"method":"release.list","params":{"channel":"localized"}}\n' \
+  | socat - UNIX-CONNECT:/tmp/bat-state/bat.sock
+
+# 选择已验证的 localized 当前 release，默认 channel 仍是 official
+printf '{"jsonrpc":"2.0","id":3,"method":"release.distribution","params":{"channel":"localized"}}\n' \
+  | socat - UNIX-CONNECT:/tmp/bat-state/bat.sock
+```
+
+`release.distribution` 只返回 Rust 已验证的当前或显式历史 release。localized 必须
+同时满足 source official、current、manifest identity、source/target hash/size 和
+UnityFS/ZIP 最终语义校验；staging、损坏、缺失或路径不安全的 release 不会跨 channel
+fallback。`localized.status` 的 `patch_manifest_contract_status` 与
+`artifact_integrity_status` 分开表示 schema 和产物健康度，产物损坏时为
+`localized.degraded`，检查不会自动修复。
+
+清理必须先 dry-run，再使用同一 `plan_id` 执行：
+
+```bash
+printf '{"jsonrpc":"2.0","id":4,"method":"release.cleanup","params":{"execute":false}}\n' \
+  | socat - UNIX-CONNECT:/tmp/bat-state/bat.sock
+printf '{"jsonrpc":"2.0","id":5,"method":"release.cleanup","params":{"execute":true,"plan_id":"<plan-id>"}}\n' \
+  | socat - UNIX-CONNECT:/tmp/bat-state/bat.sock
+```
+
+Rust 会在执行前重算计划，保护 current、rollback previous、active/in-progress、
+localized source official、state/manifest/CAS/reference 和未知归属对象。cleanup 不改变
+current、不执行 rollback，也不删除 staging；回滚仍使用独立的 `localized.rollback`。
+
 ## 解析与重打包
 
 解析当前已发布 release：

docs/reference/rpc-backend-api.md

@@ -172,6 +172,23 @@ SQLite `ResourceRepository`，索引不存在时返回 `ok=true` 且
 
 删除资源只进入 `official-resource-changes.json`，不进入 Crowdin handoff。
 
+### release
+
+| 方法 | 状态 | params | data |
+|---|---|---|---|
+| `release.status` | 已实现 | `null` | official/localized current、source relation、match、历史 release 和 manifest/artifact/distribution integrity 统一视图。 |
+| `release.list` | 已实现 | `{ "channel": "official" }` 或 `{ "channel": "localized" }`，可省略 | 对应 namespace 的历史 release 摘要，包含 stable ID、created/published、current pointer、`rollback_available`、lifecycle、`stale`/`damaged`/`referenced`/`unknown`、legacy 和诊断。 |
+| `release.distribution` | 已实现 | `{ "channel": "official", "release_id": "...", "offset": 0, "limit": 1000 }`，均可省略 | Rust 选择的 verified `resource_root` 和 download manifest entries；默认 channel 为 official，选择失败返回 `available=false`，不跨 channel fallback。 |
+| `release.cleanup` | 已实现 | dry-run `{ "execute": false }`；执行 `{ "execute": true, "plan_id": "..." }` | cleanup plan、candidate/retain reasons、blocking references 和 removed paths；执行前会重新生成并比对 `plan_id`。 |
+
+`release.status`、`release.list` 和 `release.distribution` 只读现有 official/localized
+state、current、manifest、文件系统和 CAS/reference 元数据，不创建第二套 release 状态。
+localized 只有在 source official、current pointer、manifest identity、source/target
+hash/size 以及 UnityFS/ZIP 最终语义校验全部通过时才可分发；默认官方分发行为不变。
+`release.cleanup` 只删除 Rust 能证明是普通目录且未被 current、rollback、staging、
+source、state、manifest、CAS 或未知 ownership 引用的历史项，不修改 current，也不承担
+rollback 或 repair。
+
 ### schedule
 
 调度计划由 Rust `bat` 持有，状态文件为 daemon `state_dir` 下的
@@ -345,7 +362,7 @@ Glossary 只把 `approved` term 发送为 provider constraints。worker 会在 t
 `./bat-localized` 混用。当前支持未汉化发布状态和已汉化发布状态的只读报告。
 `status` / `status_code` 使用生命周期短状态和稳定状态码，例如
 `pending` / `localized.pending`、`stale` / `localized.stale`、`published` /
-`localized.published`；旧的 `localized` / `not_localized` 业务标签放在
+`localized.published`、`localized.degraded`；旧的 `localized` / `not_localized` 业务标签放在
 `localized_release_status`。`translation_workflow_status` / `translation_workflow_status_code`
 用于表示汉化工作流的人工校对状态，例如 `manual_proofreading` /
 `translation.manual_proofreading`。返回 `localized_release_status=localized` 的条件是：
@@ -353,7 +370,10 @@ Glossary 只把 `approved` term 发送为 provider constraints。worker 会在 t
 `current` symlink 指向汉化发布根下对应的 `versions/<id>`，并且该版本目录中的
 `localized-patch-manifest.json` 存在且 release ID 匹配。响应会返回
 `patch_manifest_path`、`patch_manifest_available`、
-`patch_manifest_matches_release`、`patch_manifest_integrity_status`、
+`patch_manifest_matches_release`、`patch_manifest_contract_status`、
+`patch_manifest_integrity_status`（兼容别名）、`artifact_integrity_status`、
+`artifact_integrity_verified`、`artifact_integrity_error` 和
+`artifact_integrity_diagnostics`、
 `patch_manifest_source_version`、`patch_manifest_target_version`、
 `patch_file_count`、`patch_operation_count`、`patch_kind_counts`、
 `patch_text_asset_operation_count` 和 `rollback_previous_current_target`。
@@ -525,7 +545,7 @@ CLI 对应关系：
   envelope 和 `ApiError` 解码；它不是 bat-api 的 HTTP 任意 RPC proxy。
 - typed helper 已覆盖 daemon 已实现方法（`status/logs/stop/restart/reload/refresh/doctor`）、
   `resource.state/sync/verify/repair/manifest/list`、`schedule.list/add/update/remove/run`、
-  `catalog.*`、`parse.*`、
+  `catalog.*`、`parse.*`、`release.status/list/distribution/cleanup`、
   `localized.status`、`localized.publish`、`localized.rollback`、
   `translation.tasks`、`translation.handoff`、`translation.task.update`、
   `translation.worker.run`、`translation.proofread`、`translation.memory.summary`、
@@ -551,6 +571,7 @@ CLI 对应关系：
 | `TranslationMemoryBackend` | `translation.memory.summary`、`translation.memory.query`、`translation.memory.confirm` | 鉴权后的 TM 摘要、source/context 查询和显式 candidate 确认；Go 只转发，不持有 TM 状态 |
 | `GlossaryBackend` | `translation.glossary.summary/query/diagnose/add/update/approve/deprecate/delete` | 鉴权后的 Glossary 摘要、term/history 查询、确定性诊断和审核/删除 mutation；Go 只转发，不持有 Glossary 状态 |
 | `LocalizedBackend` | `localized.status`、`localized.publish`、`localized.rollback` | 鉴权后的汉化 release 状态、发布与显式回滚 |
+| `ReleaseBackend` | `release.status`、`release.list`、`release.distribution`、`release.cleanup` | 鉴权后的双 release 查询、验证分发选择和 dry-run/execute cleanup；Go 不持有 release 状态 |
 
 `daemon.stop`、`daemon.clean-stable` 和任意通用 RPC 不属于 bat-api 管理控制面。
 Rust dispatch、Go transport 和 bat-api 接口的权威实现位置分别是

docs/reports/CURRENT_GAPS.md

@@ -32,7 +32,7 @@ directory 形态和未修改对象/字段，并明确拒绝未知压缩或无法
 回归和 `bat-infrastructure` 的解析缓存、ZIP 内 bundle 发布测试。新增格式覆盖必须
 同时补真实 fixture、回归测试和文档。
 
-### G-006：通用 Patch 的复杂格式和运维视图仍未完成
+### G-006：通用 Patch 的复杂格式和运维扩展仍未完成
 
 状态：**V1 已完成（当前支持类型），复杂格式和运维扩展继续推进**
 
@@ -41,13 +41,16 @@ rollback 元数据；`LocalizedPatchService` 已使用同一有序 generic manif
 Binary/JSON/Text 与当前支持的 UnityFS TextAsset、TypeTree string/semantic field
 写入及 localized publish/rollback。发布会在独立 staging 中校验 source/target identity、
 逐操作 precondition、ZIP 内层重解析和实际字段替换，并保留 TextUnit/TM/Glossary/review
-provenance；`localized.publish`、`i18n publish` 和 bat-api typed forwarding 均已接入。
+provenance；UnityFS 目标身份至少包含 archive entry、serialized file、path ID 和实际
+field path，同对象 sibling field 可并存，重复、父子、whole-object/field 结构重叠会拒绝；
+`localized.publish`、`i18n publish` 和 bat-api typed forwarding 均已接入。
 
 仍需完成：
 
 - 任意复杂 AssetBundle 重打包和完整翻译文件集合构建；当前 localized publish 已支持
   可验证 ZIP 内 bundle 的外层 ZIP 重写，但不扩大 UnityFS 结构支持范围。
-- 原版 release 与 localized release 双发布后的更丰富查询、分发和清理策略。
+- generic manifest 已冻结为当前支持类型的 V1；复杂 AssetBundle 结构仍需真实样本驱动，
+  不在本项中扩展 Patch 格式。
 
 所有发布产物必须先进入独立 staging，通过完整性校验后再原子发布；失败不得改变
 已发布的 `bat-resources/current` 或 `bat-localized/current`。
@@ -106,14 +109,21 @@ format 等资源级过滤，`parse.text_units` / `parse.errors` 和翻译任务
 - 从同一 manifest fingerprint 追溯资源、解析缓存、翻译任务和发布产物。
 - 更多 schema 迁移、权限、并发和损坏恢复场景验证。
 
-### G-011D：双 release 的完整查询与运维策略仍未完成
+### G-011D：双 release 查询、分发与安全清理
 
-状态：**发布闭环完成，查询/清理扩展继续推进**
+状态：**V1 已完成**
 
 官方原版和 localized release 已分离，受支持 patch 可独立 staging、校验、发布和
-rollback，`localized.status` 能校验当前官方 release 与 patch manifest 的一致性。
+rollback。Rust `release.status` 提供统一 current/source/match、manifest contract、
+artifact/distribution integrity、历史 release、legacy/stale/damaged 摘要；
+`release.list` 查询两个 namespace，`release.distribution` 只允许当前或显式历史且已
+验证的 official/localized release，默认仍为 official；`release.cleanup` 提供 dry-run
+`plan_id` 和执行前重验证，只删除确定未被 current、rollback、staging、source、状态、
+manifest、CAS 或未知归属引用的普通目录。`localized.status` 还区分 schema/contract 与
+artifact integrity，损坏产物返回 degraded/corrupt，不自动回滚或删除。
 
-仍需完成复杂重打包、双 release 查询/分发视图和清理策略。
+rollback 与 cleanup 保持独立；缺少 generic manifest 的旧 localized release 仍可读，
+明确标记 `legacy`/`unknown`，不会被自动重写。
 
 ### G-012：Translation Memory V1 已实现，扩展能力仍缺失
 
@@ -148,7 +158,8 @@ Rust `bat` 已提供独立项目级 `glossary.sqlite`：term/alias/recommended/a
 ## 3. 后续推进顺序
 
 1. 继续 G-005：更多真实 AssetBundle 样本、复杂字段解析、版本差异和任意结构重打包。
-2. 继续 G-006/G-011D：复杂 AssetBundle 兼容和双 release 查询/清理策略。
+2. 继续 G-006：复杂 AssetBundle 兼容和真实样本覆盖；G-011D 的双 release 运维 V1
+   已完成，后续 retention scheduler 不属于本次闭环。
 3. 继续 G-011/G-012/G-013/G-014：资源查询、TM/Glossary 扩展和 Provider
    扩展体系。
 4. 在隔离环境执行 `make official-smoke`，补充真实网络长期运行报告。

docs/reports/GO_STATUS.md

@@ -95,8 +95,8 @@
 | 组件 | 路径 | 状态 | 说明 |
 |---|---|---|---|
 | Module | `go.mod` → `bat-api` | 已用 | 服务层模块名 |
-| RPC client | `internal/backendrpc` | **完成** | Unix socket JSON-RPC transport + typed helper；typed helper 覆盖 daemon 已实现控制/查询、`resource.state/sync/verify/repair/manifest/list`、`catalog.*`、`parse.*`、`localized.status/publish/rollback`、`task.*`、`translation.tasks`、`translation.handoff`、`translation.task.update`、`translation.worker.run`、`translation.proofread`、`translation.memory.summary/query/confirm`、`translation.glossary.summary/query/diagnose/add/update/approve/deprecate/delete` 和文件级 UnityFS patch 调用；`localized.publish` 的 typed params 支持 `translation_file`、`from_worker` 或 `patch_manifest` 三选一；`resource.index`、`patch.apply` 仍通过通用 `Call` 走同一 contract；fake transport 单测和 `internal/api/testdata/contract/` mirror test 固化 Rust 输出字段 |
-| 资源 bootstrap/分发 | `cmd/bat-api` + `internal/api` | **MVP+生产控制面** | RPC 发现 + 周期刷新/诊断 + `/v1/bootstrap` + `/v1/launcher/bootstrap` + launcher 资源 metadata 兼容 + `/readyz` + CDN Range/缓存头 + 鉴权/限流/访问日志/反代适配 + OpenAPI + 管理控制白名单 + translation/TM/Glossary admin forwarding + 内嵌 dashboard + `.env` |
+| RPC client | `internal/backendrpc` | **完成** | Unix socket JSON-RPC transport + typed helper；typed helper 覆盖 daemon 已实现控制/查询、`resource.state/sync/verify/repair/manifest/list`、`release.status/list/distribution/cleanup`、`catalog.*`、`parse.*`、`localized.status/publish/rollback`、`task.*`、`translation.tasks`、`translation.handoff`、`translation.task.update`、`translation.worker.run`、`translation.proofread`、`translation.memory.summary/query/confirm`、`translation.glossary.summary/query/diagnose/add/update/approve/deprecate/delete` 和文件级 UnityFS patch 调用；`localized.publish` 的 typed params 支持 `translation_file`、`from_worker` 或 `patch_manifest` 三选一；`resource.index`、`patch.apply` 仍通过通用 `Call` 走同一 contract；fake transport 单测和 `internal/api/testdata/contract/` mirror test 固化 Rust 输出字段 |
+| 资源 bootstrap/分发 | `cmd/bat-api` + `internal/api` | **MVP+生产控制面** | RPC 发现 + 周期刷新/诊断 + `/v1/bootstrap` + `/v1/launcher/bootstrap` + `/v1/releases` + `/v1/distribution` + launcher 资源 metadata 兼容 + `/readyz` + CDN Range/缓存头 + 鉴权/限流/访问日志/反代适配 + OpenAPI + 管理控制白名单 + release/localized/TM/Glossary admin forwarding + 内嵌 dashboard + `.env` |
 | 试验 CLI | `cmd/bat` | **试验** | doctor 固定 ok；manifest/sync 走 FFI |
 | FFI | `internal/ffi` | **可选** | 需 `build-ffi` |
 | 空骨架 | `api/`、`pkg/*`、部分 `internal/*` | **空** | 见各目录 README |
@@ -134,7 +134,7 @@ make build-go-cli   # 产出 bin/bat-go
 | 项 | 状态 |
 |---|---|
 | Go 同步 CLI | **边界已确定**（正式同步 CLI = Rust `bat`） |
-| G-009 bat-api 资源 bootstrap/分发 | **资源面完成（非完整官方游戏 API）**；已含资源 bootstrap、launcher resource metadata 兼容、HTTP 鉴权/限流/日志/反代适配、RPC 周期刷新/诊断、readiness、OpenAPI、管理控制白名单、Rust-owned `schedule.*`、`task.*`、`parse.*`、翻译任务/TM 状态查询与显式确认代理、内嵌 dashboard、同机 live smoke 和部署模板；持久化仍另议 |
+| G-009 bat-api 资源 bootstrap/分发 | **资源面完成（非完整官方游戏 API）**；已含资源 bootstrap、launcher resource metadata 兼容、HTTP 鉴权/限流/日志/反代适配、RPC 周期刷新/诊断、readiness、OpenAPI、管理控制白名单、Rust-owned `schedule.*`、`task.*`、`parse.*`、`release.*` 双 release 查询/分发/cleanup 转发、翻译任务/TM 状态查询与显式确认代理、内嵌 dashboard、同机 live smoke 和部署模板；持久化仍另议 |
 | G-010 Web | 内嵌 dashboard MVP 已完成；完整协作后台、登录/角色、术语管理和构建型前端未开始 |
 
 ---