docs: CHANGELOG v1.4.3

.gitea/workflows/mirror-to-public.yml

@@ -1,15 +1,9 @@
-name: 📦 Veröffentlichen → updates.rhino.nrw
+name: Mirror to Public Gitea (updates.rhino.nrw)
 
-# Zwei Wege, denselben Job auszulösen:
-#  • workflow_dispatch: KNOPF in Gitea (Actions-Tab → "Run workflow") — kein Terminal.
-#    Veröffentlicht den aktuellen Stand aus 'main' (Staging) nach updates.rhino.nrw.
-#  • push auf 'release': für das CLI-Skript release.py (Power-User-Weg).
+# Trigger: nur Push auf 'release'. Das ist die Validierungsschranke — nur
+# geprüfte, freigegebene Stände werden öffentlich ausgeliefert.
+# Publish-Befehl (Entwickler):  git push origin main:release --force
 on:
-  workflow_dispatch:
-    inputs:
-      hinweis:
-        description: "Optional: Version/Notiz (nur fürs Protokoll)"
-        required: false
   push:
     branches: [release]
 
@@ -23,6 +17,9 @@ jobs:
           fetch-depth: 0
 
       - name: CHECKSUMS.txt pro Projekt frisch erzeugen
+        # Am Publish-Zeitpunkt erzeugt → kann nie veralten und ein gültiges
+        # Update nie fälschlich blocken. Schützt gegen Download-Korruption
+        # (nicht gegen manipulierte Releases — das leistet die release-Schranke).
         run: |
           for d in */ ; do
             d="${d%/}"
@@ -32,18 +29,18 @@ jobs:
             fi
           done
 
-      - name: Commit (nur im Runner, fließt in den public-Mirror)
+      - name: Commit (nur lokal im Runner, fließt in den public-Mirror)
         run: |
           git config user.email "action@gitea.rhino.nrw"
           git config user.name "Gitea Action"
           git add -A
-          git commit -m "ci: CHECKSUMS.txt bei Veröffentlichung erzeugt" || echo "Keine Änderung."
+          git commit -m "ci: CHECKSUMS.txt am Release erzeugt" || echo "Keine Änderung."
 
-      - name: Push nach Public-Gitea (updates.rhino.nrw)
+      - name: Push mirror to Public Gitea (als 'main')
         env:
           PUBLIC_GITEA_TOKEN: ${{ secrets.PUBLIC_GITEA_TOKEN }}
         run: |
+          # Token nicht in der Remote-URL ablegen — via Authorization-Header.
           AUTH=$(printf 'rhino:%s' "$PUBLIC_GITEA_TOKEN" | base64 | tr -d '\n')
           git -c http.extraHeader="Authorization: Basic $AUTH" \
               push http://172.30.0.4:3053/rhino/StatusQuo_Updates.git HEAD:main --force
-          echo "Veröffentlicht: $(cat VI3DGL/VERSION 2>/dev/null) — Hinweis: ${{ github.event.inputs.hinweis }}"