feat(deploy): 发布链地基三件套——webhook 骨架/构建占位/回滚干跑

- webhook-receive.sh：HMAC 骨架 + 仅 main 分支触发（干跑验证两条 ref 路径）
- build.sh：锁发布链形态与路径约定，astro 命令留 Phase 1 TODO
- rollback-dryrun.sh：回滚四前置条件验证 + 人为操作手册（秒级回 18090）
- staging 落用户区 ~/docker_apps/blog/www-staging（宿主 sudo 不可用，nginx 以 root 读用户目录无碍）

验证: webhook 干跑 main accepted / non-main ignored；rollback-dryrun
      四要素 ok（halo vhost/容器/响应/staging）

Co-authored-by: GLM-5.3

.spec/specs/2026-10-24_add-blog-infra/tasks.md

@@ -35,8 +35,8 @@
   - boundary: 用户在 ESA 控制台添加 git.wait4x.online（代理开）后：安装两份 conf 到 sites-available + symlink + nginx -t + reload；仅新增文件，不改既有 vhost
   - verify: `curl -skf https://git.wait4x.online -o /dev/null -w '%{http_code}' | grep -q 200`
 
-- [ ] T6 发布链地基（webhook 脚本骨架 + 回滚预案）
-  - depends-on: T5
+- [x] T6 发布链地基（webhook 脚本骨架 + 回滚预案）
+  - depends-on: T3（2026-10-24 修正：骨架仅依赖 gitea 形态，与 T5 域名解耦，提前完成）
   - claim: orchestrator 2026-10-24
   - boundary: 仓库内新增 `infra/deploy/`（webhook 接收脚本骨架 + 回滚预案文档）；宿主机建 `/var/www/blog-staging/` 占位目录；不切换任何 nginx upstream
   - verify: `bash infra/deploy/rollback-dryrun.sh`