release(v0.7.1): 契约 websocket-keypoints 0.2.0 + 补齐场景规格与任务文档

契约变更（T-WEB-016，与 Android T-AND-011「两端一起改」配套）
- websocket-keypoints 0.1.0 -> 0.2.0，均为向后兼容（子协议名与二进制帧
  version 均不变，只新增可选控制字段与一种新控制类型）：
  1.1 保活：接收端必须声明 silentTimeoutMs 与 heartbeatIntervalMs，且心跳必须
      小于静默超时的一半。根因是客户端只能用 OkHttp 的协议层 ping，而它由
      底层库自动应答、**不暴露给应用层**，接收端根本看不到，无法续命；
  3.1 hello.deviceId（该安装实例的稳定标识，不使用任何硬件序列号）；
  3.2/3.3 welcome/config 携带保活字段；
  3.6 应用层 ping/pong（回显 sentAtMs，pong 另带 serverAtMs 供算 RTT）；
  5   设备去重：同一 deviceId 只保留最新连接，旧连接以 1000 关闭
      （刻意用 1000：对端据 §7 不会重连，否则形成"挤掉-重连-再挤掉"循环）；
  7   关闭码与重连策略：1000/1001/1002 与主动停止不重连，其余重连；
  7.1 退避参数冻结：min(500ms*2^(n-1), 15000ms) + ±20% 抖动；
  8   连接状态机（两端同名，日志可直接对照）。
- contracts/VERSION 与 src/config/contract-versions.ts 同步到 0.2.0。

补齐 rest-api.yaml 漏写的场景结构（只补规格，不改线格式，版本号不变）
- CatalogBundle 增加 scenes[]（标注 0.5.0 起下发）；
- 新增 Scene / SceneConfig / Vec3 schemas。catalog/export 自 v0.7.0 起就返回
  scenes[]，data-models 7 也已冻结，但规格漏写会让两端对字段边界
  （如 0~1、±200）的理解不一致。

deploy/proxy/README.md 新增第九节：Gitea 站点的附件上传上限
- 与一~五节的 Web 服务反代是**两个不同站点**；实测 30.5 MB / 40 MB 上传返回
  HTTP 413，根因是 IIS 默认 maxAllowedContentLength = 30,000,000 字节；
- 给出放宽到 256 MB 的 IIS / ARR / Gitea app.ini / nginx 四处配置与复验命令；
- 这解释了 Windows 端 v0.1.0 为何被拆成 zip.part0/1/2（交付缺陷）。

文档与脚本
- 补齐 tasks/011~016 与 project.yaml 条目（T-WEB-011~015 此前已在代码中落地
  却缺任务说明书）；project.yaml 的 contracts_version 由单个 0.4.0 改为六项字典；
- scripts/package-release.sh 的版本号改为从 web-server/package.json 读取
  （与 GET /health 的 version、管理端左下角展示同源），并与 project.yaml 交叉校验；
  同时补上 SHA256SUMS 与自校验（此前是手工生成的）。

验证：npm run verify 通过（contracts:check 六项一致 + 35 条路由一致、
typecheck、246 项测试、nest build）；产物 opendance-web-v0.7.1.tar.gz
sha256 27f92cfb125bbcf29077d4ad90c44720cbca46d23ddef12cd7826d73bd8865e2。

scripts/package-release.sh

@@ -21,7 +21,20 @@ set -euo pipefail
 REPO_ROOT="$(cd "$(dirname "$0")/.." && pwd)"
 cd "$REPO_ROOT"
 
-VERSION="${1:-0.7.0}"
+# 版本号唯一来源：web-server/package.json 的 version（与 GET /health 的 version 同源，
+# 也是管理端左下角展示的那个值）。不传参数时自动读取，并与 project.yaml 交叉校验。
+PKG_VERSION="$(node -p "require('./web-server/package.json').version" 2>/dev/null || true)"
+YAML_VERSION="$(sed -n 's/^version:[[:space:]]*//p' project.yaml | head -1)"
+VERSION="${1:-$PKG_VERSION}"
+VERSION="${VERSION:-0.7.1}"
+if [ -n "$PKG_VERSION" ] && [ "$VERSION" != "$PKG_VERSION" ]; then
+  echo "[error] 版本号不一致：参数=$VERSION，web-server/package.json=$PKG_VERSION" >&2
+  exit 1
+fi
+if [ -n "$YAML_VERSION" ] && [ "$VERSION" != "$YAML_VERSION" ]; then
+  echo "[error] 版本号不一致：参数=$VERSION，project.yaml=$YAML_VERSION" >&2
+  exit 1
+fi
 NAME="opendance-web-v${VERSION}"
 OUT_DIR="$REPO_ROOT/dist-release"
 STAGE="$OUT_DIR/$NAME"
@@ -169,7 +182,15 @@ if [ "$fail" -ne 0 ]; then
   die "产物完整性校验失败，已删除有问题的压缩包"
 fi
 
+# ---- SHA256SUMS（裸文件名，下载目录内 sha256sum -c 直接可用） ----
+( cd "$OUT_DIR" && sha256sum "$NAME.tar.gz" > SHA256SUMS )
 log "完成：$OUT_DIR/$NAME.tar.gz"
+log "已生成 $OUT_DIR/SHA256SUMS"
+if ( cd "$OUT_DIR" && sha256sum -c SHA256SUMS --status ); then
+  log "sha256 自校验：OK"
+else
+  die "sha256 自校验失败"
+fi
 echo
 echo "产物内容："
 # 先把清单读入变量，避免 tar 因管道提前关闭（SIGPIPE）而误报 "write error"