feat(release):完成双 release 运维闭环

docs/architecture/resource-release-layout.md

@@ -8,6 +8,7 @@
   - inventory 抽取：`adapters/src/official/inventory.rs`
   - 落盘与 manifest：`infrastructure/src/official_download.rs`（`destination_for_url`）
   - 发布布局：`infrastructure/src/official_update.rs`
+  - 双 release 视图、分发选择与清理：`infrastructure/src/release_ops.rs`
   - 分发：`cmd/bat-api` + `internal/api`（见 `docs/reports/GO_STATUS.md`）
 
 ---
@@ -17,7 +18,7 @@
 | 角色 | 组件 | 职责 |
 |---|---|---|
 | 同步 / 运维（近乎全自动） | Rust `bat` | auto-discover、拉取、校验、发布、watch/daemon、RPC 后端 |
-| 资源 bootstrap / 只读分发 | Go `bat-api` | 同环境经 `bat.sock` 发现已发布版本和 `resource_root`，提供 `/v1/bootstrap`、server-info 改写和官方 CDN path 字节 |
+| 资源 bootstrap / 只读分发 | Go `bat-api` | 同环境经 `bat.sock` 读取 Rust 选择的已验证版本和 `resource_root`，提供 `/v1/bootstrap`、server-info 改写、官方/localized CDN path 字节和 release 管理转发 |
 | 试验 CLI | Go `cmd/bat` → `bin/bat-go` | 非产品；禁止与 Rust `bat` 重名 |
 
 **禁止**：把已安装客户端目录或 `/home/wanye/D/BlueArchive` 当作生产输入；真实全量样本优先服务器 release 或 `/tmp` 隔离目录。
@@ -85,13 +86,34 @@
 - `not_localized`：官方原版资源已经完成下载、校验和发布，汉化资源尚未发布；这是官方同步完成后的默认状态。
 - `localized`：同一官方版本的原版资源和汉化资源都已发布，生产侧可以同时提供两套资源。
 
-### 2.1 读侧 vs 写侧
+### 2.1 双 release 读写边界
+
+Rust `bat` 的 `release.status` 是 official/localized 的统一只读视图，基于既有
+version state、current symlink、release manifest、文件系统和必要的 CAS/reference
+元数据计算，不建立第二个 release 数据库。`release.list` 返回两个 namespace 的当前
+与历史 release，包含稳定 ID、created/published、source official relation、生命周期、
+`rollback_available`、manifest contract、artifact/distribution integrity、
+`stale`/`damaged`/`referenced`/`unknown`、rollback previous 和诊断；缺少 generic manifest 的
+旧 localized release 保留为 `legacy`/`unknown`，不自动改写。
+
+`release.distribution` 的默认 channel 是 `official`。只有当前或显式历史、路径归属安全、
+source relation 正确且 manifest/artifact integrity 通过的 release 才能被选择；staging、
+损坏、缺失、symlink/path escape 或未验证历史项不会回退到另一 channel。返回的
+`resource_root` 和 manifest entry 由 Rust 决定，Go 只做 typed forwarding。
+
+`release.cleanup` 先生成 dry-run 计划和 `plan_id`，执行时重新计算并比对计划。current、
+rollback previous、active/in-progress、localized source official、state/manifest/CAS
+reference、无法确认 ownership 的对象均保留；只删除重新验证后仍为普通目录且确定无引用的
+历史 release。它不改变 current，不执行 rollback，也不负责自动 repair；staging 默认保留
+以避免删除未持久化任务。
+
+### 2.2 读侧 vs 写侧
 
 | 阶段 | 根目录 |
 |---|---|
 | 下载写入 | `<output>/.staging/<id>` |
 | 发布完成 | rename 到 `versions/<id>`，再切换 `current` |
-| 生产读取 / bat-api | RPC 给出的 `version.resource_root`；通常等价于 `current` 解析后的 versioned 目录 |
+| 生产读取 / bat-api | RPC 给出的已验证 `resource_root`；默认等价于 official `current` 解析后的 versioned 目录，localized 必须显式选择 |
 
 每个 release 的 `official-download-manifest.json` 是历史复用的索引。新 staging
 按规范化 destination 查找候选，并重新验证 manifest 中的 size、BLAKE3 和 ZIP
@@ -138,7 +160,10 @@ GET {public-base-url}/prod-clientpatch.bluearchiveyostar.com/<root_token>/...
     ≡ 磁盘 <resource_root>/prod-clientpatch.bluearchiveyostar.com/<root_token>/...
 ```
 
-默认仅服务 **download manifest 索引内且 Present + size 匹配** 的文件。
+默认仅服务 **official download manifest 索引内且 Present + size 匹配** 的文件。需要
+localized 或历史 release 时，调用 `release.distribution` 选择 Rust 已验证的
+`resource_root`，再由 `/v1/distribution` 或带 `channel`/`release_id` 的 CDN path
+转发；Go 不在本地判断健康度，也不回退到 official。
 
 ### 3.3 launcher 资源引导兼容