ci(release): publish the release first, then attach the APK

The release job now creates the Gitea release right after verification with
generated notes: Android build status, changes grouped by Conventional Commit
type with commit links, server update steps and APK install/check notes.
The android job attaches the APK and .sha256 and rewrites only the status
block (building / built with size, versionCode and SHA-256 / failed with a
log link). scripts/release.mjs is idempotent on re-runs and unit-tested.

Co-Authored-By: Claude Opus 5.5 <noreply@anthropic.com>

docs/ci-cd.md

@@ -48,20 +48,25 @@ on:
     tags: ['v*.*.*']
 
 jobs:
-  verify:          # все проверки ci.yml (reusable workflow)
-
-  android-release: # needs: verify
-    # setup-java 17, Android SDK, pnpm install
-    # VERSION / VERSION_CODE из тега → app.config.ts
-    # expo prebuild --platform android --clean
-    # ./gradlew assembleRelease (signingConfig из секретов)
-    # apksigner verify; sha256sum > pipu-music-${VERSION}.apk.sha256
-
-    # changelog из Conventional Commits между тегами
-    # создать Gitea Release через API (POST /repos/{owner}/{repo}/releases), prerelease по суффиксу
-    # загрузить ассеты: APK и .sha256
+  verify:          # все проверки ci.yml
+  release:         # needs: verify — сразу создаёт Gitea Release (scripts/release.mjs create)
+  android:         # needs: verify, release — собирает APK и докладывает его в релиз
 ```
 
+Релиз появляется сразу после проверок, не дожидаясь APK. Текст строит `scripts/release.mjs`:
+
+- **статус Android** вверху: «⏳ собирается» со ссылкой на ход сборки → «✅ собран» (имя файла, размер,
+  versionCode, SHA-256; предупреждение, если подпись отладочная) или «❌ не удалась» со ссылкой на лог;
+- **изменения** — коммиты (Conventional Commits) с прошлого тега по разделам «Новое», «Исправления»,
+  «Сборка и CI» и т. д., отдельно — несовместимые (`feat!:`); для финального релиза отсчёт от прошлого
+  финального, а не от последнего `-rc`; ссылка на полный diff;
+- **обновление сервера** — бэкап, `./update.sh vX.Y.Z`, проверка версии; **установка APK** и проверка SHA-256.
+
+Job `android`: Android SDK, `expo prebuild`, `./gradlew assembleRelease` (только arm64-v8a), подпись `apksigner`,
+затем `release.mjs android success <apk>` прикладывает APK и `.sha256` и меняет статус. При любом сбое —
+`release.mjs android failure`. Перезапуск job безопасен: статус снова «собирается», файлы заменяются.
+Перезапуск всего workflow обновляет текст существующего релиза, а не создаёт второй.
+
 Docker-образы **не публикуются**: сервер собирает их сам из клонированного репозитория (ADR-013).
 Чтобы сборка на сервере не ломалась, job `docker` в `ci.yml` собирает все образы без push на каждый PR.
 
@@ -69,7 +74,7 @@ Docker-образы **не публикуются**: сервер собирае
 
 | Секрет | Назначение |
 |---|---|
-| `RELEASE_TOKEN` | Создание релиза и загрузка ассетов |
+| `RELEASE_TOKEN` | Создание и редактирование релиза, загрузка ассетов (scope `write:repository`) |
 | `ANDROID_KEYSTORE_BASE64`, `ANDROID_KEYSTORE_PASSWORD`, `ANDROID_KEY_ALIAS`, `ANDROID_KEY_PASSWORD` | Подпись APK. **Ключ один на всю жизнь приложения** — хранить резервную копию вне Gitea. Без них финальный релиз падает; `-rc` собирается с отладочной подписью. |
 
 ## Деплой