开发者中心落地 dev-portal：Cloudflare Worker + GitHub Actions CI/CD 自动部署

[eggfly]

内容

把 AppBuilder PR #11 和 PR #12 落地到本仓库，并按要求改为 GitHub Actions CI/CD 部署（push main 自动 wrangler deploy 到 Cloudflare Workers，不用 Cloudflare 的 git 集成自动拉取）。

两个 PR 怎么合的

PR #12（dev-portal/ 目录）是 PR #11（online-submit/）的演进版，功能是其超集（同域托管免 CORS、浏览器本地解析 .deb、抢占式包名归属、下架、管理员），所以：

• 代码主体取 PR fix(worker): 修复提交 422（client_payload 超过 10 个顶层属性） #12：worker/（Cloudflare Worker，页面 + API 同域）、site/（本地解析 + 上传/管理页）、packages-workflows/（复制到 CardputerZero/packages 的两个 workflow）、test/
• PR feat(portal): 网页商店信息表单 + 320×170 截图（真正合入 main） #11 的部署指南与安全设计文档合入 docs/DEPLOY.md（Cloudflare 域名接入、OAuth App、bot token、OSS 直传取舍分析）
• PR feat(portal): 网页商店信息表单 + 320×170 截图（真正合入 main） #11 的旧版 Worker（api.cardputer.cc + 跨域 CORS 方案）和 submit.html 已被 fix(worker): 修复提交 422（client_payload 超过 10 个顶层属性） #12 的同域方案取代，不再保留

CI/CD（.github/workflows/deploy.yml）

• push main → 跑 deb 解析器单元测试 → cloudflare/wrangler-action 部署 Worker（含静态站点）
• PR 只跑测试不部署；也支持手动 workflow_dispatch
• 可选：在 GitHub secrets 配 OAUTH_CLIENT_ID / OAUTH_CLIENT_SECRET / BOT_TOKEN / SESSION_SECRET，每次部署自动同步到 Worker secrets，无需本地 wrangler secret put

域名

cardputer.cc zone 已在 Cloudflare（NS 已切到 eva/nick.ns.cloudflare.com），主域继续指向 GitHub Pages 商店站不受影响；开发者中心用 dev.cardputer.cc，wrangler.toml 已声明 custom domain，首次部署自动接管 DNS + 证书。

合并后需要人工做的（详见 docs/DEPLOY.md）

1. 仓库 secrets 配 CLOUDFLARE_API_TOKEN（Workers Scripts: Edit + Workers Custom Domains: Edit + zone DNS: Edit）和 CLOUDFLARE_ACCOUNT_ID
2. 建 GitHub OAuth App（callback https://dev.cardputer.cc/auth/callback），配 bot PAT（CardputerZero/packages Contents: RW），四个密钥配到 GitHub secrets（或本地 wrangler secret put 一次）
3. packages-workflows/ 两个文件复制进 CardputerZero/packages 的 .github/workflows/，建 web-submission-failed label

已验证

• node --test：4 个解析器用例全过（含 gzip/xz/zstd、恶意包 flag、dpkg 版本语义）
• wrangler deploy --dry-run：Worker + 3 个静态资源打包正常，绑定齐全
• 三个 workflow YAML 解析通过