fix(czdev): 修复 403 权限校验并改为包名先到先得的所有权模型

[eggfly]

背景

同事用 czdev publish 上传 deb 时报错：

Error: permission status
Caused by:
  HTTP status client error (403 Forbidden) for url
  (.../repos/CardputerZero/packages/collaborators/<user>/permission)

根因：check_permission 调用的 GET /repos/{owner}/{repo}/collaborators/{username}/permission 端点要求调用者本身对该仓库有 push 权限，外部贡献者没有权限时返回 403（而非 404），代码只处理了 404，导致本该"fork + PR"的分支永远走不到。

改动

• 修复权限判断（方案 B）：改用 GET /repos/{owner}/{repo} 返回的 permissions 字段判断登录用户权限，任何能看到仓库的用户都能拿到，不需要 push 权限；403/404 一律视为无权限，正常进入 fork 流程。
• 去掉 author 邮箱限制，改为「包名先到先得」：不再要求 deb 的 Maintainer 邮箱匹配上传者的 GitHub 验证邮箱。谁先上传某个包名，谁就是 owner；owner 以上传者的 GitHub login 为准，记录在 release manifest 的 uploaded_by / uploader_email 字段。
• unpublish 按记录的上传者 login 判所有权（历史包无 uploaded_by 时，从旧 deb 的 Maintainer noreply 邮箱反推 login）。
• 删除 Rust czdev 的发布二进制 workflow（release-czdev.yml）：发布链路统一走 Python，杜绝再分发带旧 publish 逻辑的 Rust 二进制。

配套 PR（跨仓库）

同一套所有权模型需要在服务端权威校验处同步（否则 CLI PR 仍会被 CI 拦）：

• CardputerZero/packages 的 validate-pr.yml
• CardputerZero/dev-portal 的 Worker 与 packages-workflows/*

Made with Cursor