feat: support custom instance icons and refresh release

.trellis/tasks/08-25-instance-custom-icon/research/backend-settings-storage.md

@@ -0,0 +1,33 @@
+# 服务端设置与外置存储调研
+
+## 架构与持久化
+
+- `server.js` 使用 Node 原生 HTTP 与 `ws`，路由集中在 HTTP 回调和 WebSocket 消息 switch。
+- `CONFIG_DIR = CC_WEB_CONFIG_DIR || APP_DIR/config`，现有运行配置均从该目录读写；测试会把它指向临时目录。
+- 默认 `config/` 位于仓库内，但 `.gitignore` 对运行文件逐项忽略；实例图标必须新增精确规则，生产还可通过 `CC_WEB_CONFIG_DIR` 完全外置。
+
+## 图片上传先例
+
+- `POST /api/attachments` 已采用原始二进制 body，不使用 multipart；通过 Bearer token 鉴权。
+- 既有逻辑包含大小上限、MIME 白名单、空内容拒绝、固定/清理后的文件名与读取鉴权。
+- 实例图标上传可沿用“二进制 REST + 鉴权”，不应把大图片转 base64 塞入 WebSocket 配置消息。
+
+## 静态响应与安全
+
+- 现有静态资源响应使用 `no-store`，并检查解析后的路径仍位于 `PUBLIC_DIR`。
+- 实例图标应只使用服务端固定文件名，写入临时文件后原子 rename；不接受客户端路径。
+- 推荐只保存规范化 PNG，服务端检查 PNG 签名与 IHDR 尺寸，避免依赖声明 MIME。
+
+## 推荐接口
+
+- `GET /api/instance-icon/config`：返回是否自定义、版本、更新时间和图标 URL；不含敏感信息。
+- `GET /api/instance-icon`：公开返回自定义 PNG；未配置时返回默认 `public/icon-192.png`。
+- `POST /api/instance-icon`：Bearer 鉴权，接收固定尺寸 PNG，校验后原子写入。
+- `DELETE /api/instance-icon`：Bearer 鉴权，恢复默认图标。
+- `GET /api/site.webmanifest`：根据是否自定义返回默认或实例图标声明。
+
+## 验证重点
+
+- 默认回退、未鉴权写入、非法 MIME/签名/尺寸、超限、覆盖更新、恢复默认。
+- 运行文件位于 `CONFIG_DIR`，不进入 `PUBLIC_DIR` 且被 Git 忽略。
+- 自定义 URL 带内容版本，避免同页更新仍显示旧图。

.trellis/tasks/08-25-instance-custom-icon/research/frontend-icon-chain.md

@@ -0,0 +1,26 @@
+# 前端图标与设置链路调研
+
+## 图标消费点
+
+- `public/index.html`：favicon、32px favicon、Apple Touch 图标、Manifest，以及登录页 `icon-192.png`。
+- `public/app.js`：浏览器通知固定使用 `/icon-192.png`，强制修改密码面板再次渲染登录 Logo。
+- `public/sw.js`：Service Worker 通知默认使用 `/icon-192.png`。
+- `public/site.webmanifest`：PWA 安装图标使用 `icon-192.png` 与 `icon-512.png`。
+
+## 设置链路
+
+- `#settings-btn` 调用 `showSettingsPanel()`，Codex 与 Claude 设置页都复用 `buildAppearanceSettingsHtml()` / `mountAppearanceSettings()`。
+- 设置读取与保存统一走 WebSocket 消息；服务端在消息 switch 中分发 `get_*_config` / `save_*_config` 并回推配置。
+- 新功能适合增加独立的实例图标配置消息，避免混入 Codex/Claude 模型配置。
+
+## 静态资源与缓存
+
+- 静态资源由 `server.js` 从 `PUBLIC_DIR` 返回，响应使用 `Cache-Control: no-store, max-age=0`。
+- 默认图标未参与前端资产 hash；自定义运行时 URL 应带版本参数或 ETag，确保同页更新。
+- PWA/操作系统已安装图标受平台缓存控制，即使动态 Manifest 更新也不保证立即刷新；浏览器页签、登录 Logo 与通知图标可可靠动态更新。
+
+## 测试与风险
+
+- 总回归入口是 `npm run regression`；`scripts/regression.js` 已覆盖设置页消息与静态结构。
+- 必须覆盖默认回退、设置页上传/恢复消息、通知图标与登录 Logo 使用统一 URL。
+- 不应修改主题级设置按钮图标；实例品牌图标与主题装饰资产是不同职责。