test(release): 逐文件核对「发布包 == 打标签的树」（T-AND-018）

新增 build/check_tracked_release.py（纯标准库）：对包内每个文件按路径决定比较基准 ——
app-release.apk 比工作树构建结果，其余比 git show <tag>:<路径>；内容不一致 / 多余 /
构建产物缺失都会列出并退出 1。已接入 accept-release.sh（第 0 步）与 package-release.sh 提示。

实测（已发布的 v0.2.2 资产重新下载后）：
  包内 12 个文件：源码/文档 11（与 tag v0.2.2 比）+ 构建产物 1（APK 比工作树构建）
  ✓ 逐文件一致：0 处不一致 / 0 处多余 / 0 处缺失
同行产品级验收（版本元数据 0.2.2/202、native 体检、契约快照、验签）同时全绿。

踩坑：第一版把 BUILD_OUTPUTS 的键一律当目录前缀，而 APK 是单文件，拼出
app-release.apk/ 导致「工作树缺失」误报；现区分目录前缀与精确文件名。

build/accept-release.sh

@@ -56,6 +56,20 @@ log "期望版本：$EXPECTED"
 log "工作目录：$WORK_DIR"
 mkdir -p "$WORK_DIR"
 
+# ---- 0. 逐文件核对：发布包 == 打标签的树（T-AND-018）----
+CHECKER="$PROJECT_DIR/build/check_tracked_release.py"
+if [ -f "$CHECKER" ] && command -v git >/dev/null 2>&1 && [ -f "$TARGET" ]; then
+  TAG="v$(basename "$TARGET" .zip | sed 's/^opendance-android-v//')"
+  if git -C "$PROJECT_DIR" rev-parse --verify "${TAG}^{commit}" >/dev/null 2>&1; then
+    log "逐文件核对：发布包 == tag $TAG"
+    "${PYTHON_BIN:-python3}" "$CHECKER" "$TARGET" --tag "$TAG" || fail "发布包与 tag $TAG 不一致"
+  else
+    log "跳过逐文件核对（仓库里没有 tag $TAG）"
+  fi
+else
+  log "跳过逐文件核对（缺 checker / git / 目标是已解压目录）"
+fi
+
 # ---- 1. sha256 + 解压 ----
 if [ -f "$TARGET" ]; then
   # SHA256SUMS 里是裸文件名，校验时 cwd 必须切到包所在目录；sums 文件用绝对路径