build: refresh CentOS 7 baseline release

findings.md

@@ -70,3 +70,13 @@
 - 多数 `.sh` hook 脚本没有 `+x`，但 `.codex/hooks.json` 使用 `sh script` / `python3 script` 调用，因此执行位不是当前阻断点。
 - 与断点 4 合并后的结论：本地脚本没坏，当前阻断点在 Codex command hook trust，7 条项目 command hook 均为 `untrusted`，所以正常 app-server 路径会跳过它们。
 - marker 方案仍可用于 trust 后二次验证；但在 hooks 未 trust 前，marker 不出现只能证明 trust 拦截，不再是定位根因的必要步骤。
+
+## 2026-08-23 CentOS 7 发布包复核
+
+- 当前 `package.json` 版本为 `1.2.11`，构建入口为 `scripts/build-single-exe.js`。
+- `dist-exe/cc-web-bun-linux-x64-baseline.tar.gz` 与其中二进制最后修改时间均为 `2026-08-21 16:57`；源码 `server.js`、`public/app.js` 随后已有变更，不能确认旧包包含这些变更。
+- PATH 中没有 `bun`，但 `/tmp/ccweb-bun.vyBprA/`、`/tmp/ccweb-bun.35Wj3R/` 等目录存在 `@oven/bun-linux-x64-baseline/bin/bun`，可按发布技能通过 `BUN_BIN` 复用。
+- 发布脚本默认目标为 `bun-linux-x64-baseline`，会清理并重建 `dist-exe/bun-linux-x64-baseline/`，随后生成同名 tar.gz。
+- 2026-08-23 重建成功：目录二进制 SHA-256 为 `28f2c2b99ef66cb523feef171c8c2438071e724629fed44f348734b982d4a4e7`；tar.gz SHA-256 为 `d8a9de5813a6f4c8b27f05565926faa9267e9070df4241387568169d97ce5cbe`。
+- `tar -xOf` 提取归档内的 `bun-linux-x64-baseline/cc-web` 后，其 SHA-256 与目录二进制完全一致；包内 `package.json` 版本为 `1.2.11`。
+- 从 `./dist-exe/bun-linux-x64-baseline/cc-web` 直接启动本机等价验证通过：端口 18082 可访问，启动日志包含 `CC-Web server listening`，运行进程 `/proc/<pid>/exe` 指向该发布目录且摘要一致。