ci(release): 发版前校验 tag 必须落在 main 上

新增前置守卫 job verify-tag，test 通过 needs 依赖它：tag 不在 main 上
（或 tag 名不合 v<主>.<次>.<修订>）即整条工作流失败，绝不建 Release。
两条触发路径统一处理：push tag 取触发引用名；workflow_dispatch 取输入 tag
并显式 fetch 后 rev-parse 解析成提交，再以 git merge-base --is-ancestor 判定。

Author: wcpe

.github/workflows/release.yml

@@ -14,13 +14,79 @@ permissions:
   contents: write
 
 jobs:
+  # ── 发版前置守卫：tag 必须落在默认分支 main 上 ───────────────────────────
+  # 收紧发版语义为「主干分支带 tag 才发布」：只有 tag 指向的提交是 main 的祖先时，
+  # 才允许进入后续 test / build-and-release。守卫不通过 → 本 job 失败 → 下游 job 因
+  # needs 不启动 → 整条工作流失败，绝不建 Release。
+  #
+  # 两条触发路径都要覆盖：
+  #   push tag           → 触发引用即 tag，GITHUB_SHA 就是被标记的提交；
+  #   workflow_dispatch  → 输入只是字符串 tag，本地未必存在该 ref，需先显式 fetch
+  #                        再用 rev-parse 解析成提交，统一走同一套判定。
+  verify-tag:
+    name: Verify tag is on main
+    runs-on: ubuntu-latest
+    steps:
+      - name: Checkout
+        uses: actions/checkout@v4
+        with:
+          # 需要完整历史，git merge-base 才能判断祖先关系
+          fetch-depth: 0
+
+      - name: Verify tag points to a commit on main
+        shell: bash
+        env:
+          EVENT_NAME: ${{ github.event_name }}
+          INPUT_TAG: ${{ github.event.inputs.tag }}
+          TRIGGER_REF_NAME: ${{ github.ref_name }}
+        run: |
+          set -euo pipefail
+
+          # 1) 解析本次要发布的 tag：dispatch 取输入，push 取触发引用名
+          if [ "${EVENT_NAME}" = "workflow_dispatch" ]; then
+            TAG="${INPUT_TAG}"
+          else
+            TAG="${TRIGGER_REF_NAME}"
+          fi
+
+          # 2) tag 名格式校验：必须形如 v<主>.<次>.<修订>，与触发条件 v*.*.* 一致，
+          #    避免 workflow_dispatch 传入分支名 / 非版本串后静默发出错误版本。
+          if ! printf '%s' "${TAG}" | grep -qE '^v[0-9]+\.[0-9]+\.[0-9]+$'; then
+            echo "::error::非法版本 tag '${TAG}'：正式发版要求 tag 形如 v<主>.<次>.<修订>（例如 v1.3.0）。"
+            exit 1
+          fi
+
+          # 3) 显式取齐引用：origin/main 与目标 tag。
+          #    fetch-depth:0 通常已包含两者，但 workflow_dispatch 时目标 tag 可能是
+          #    克隆之后才由他人推送的，故显式再取一次以保证其存在（取不到即报错，不静默）。
+          git fetch --no-tags origin "refs/heads/main:refs/remotes/origin/main"
+          git fetch --no-tags --force origin "refs/tags/${TAG}:refs/tags/${TAG}" \
+            || { echo "::error::无法获取 tag '${TAG}'，请确认该 tag 已推送到远端。"; exit 1; }
+
+          # 4) 解析 tag 指向的提交（^{commit} 会剥离 annotated tag，拿到真实提交）
+          TAG_COMMIT=$(git rev-parse "refs/tags/${TAG}^{commit}")
+          echo "目标 tag：${TAG}"
+          echo "tag 指向提交：${TAG_COMMIT}"
+          echo "main 当前提交：$(git rev-parse refs/remotes/origin/main)"
+
+          # 5) 判定：tag 指向的提交必须是 main 的祖先（含 main 自身）。
+          #    --is-ancestor 返回 0 = 是祖先（通过），返回 1 = 不是祖先（拦截）。
+          if git merge-base --is-ancestor "${TAG_COMMIT}" refs/remotes/origin/main; then
+            echo "::notice::tag ${TAG} 位于 main 上，允许发版。"
+          else
+            echo "::error::tag ${TAG} 未落在 main 上。正式发版要求 tag 必须打在 main 分支的提交上；请先将改动合并到 main、再在 main 的提交上打 tag。"
+            exit 1
+          fi
+
   # ── 测试门禁（独立 job）────────────────────────────────────────────────
   # 「发版产物必须经过验证」的意图由本 job 承载：test 全绿才允许 release 启动。
   # 与 release 解耦：任一 flaky 测试失败不会让 release job 自己跑测试而反复失败，
   # 而是直接让发布流程不启动（fail-fast at gate）。
   test:
     name: Test gate (must pass before release)
     runs-on: ubuntu-latest
+    # 先过 tag 守卫：tag 不在 main 上则连测试都不跑，直接置整条工作流为失败。
+    needs: verify-tag
     steps:
       - name: Checkout
         uses: actions/checkout@v4