Add validated OTA candidate publishing and fix 1.1.2 dependency failure

整体开发需求/01_网页配置端需求.md

@@ -281,6 +281,8 @@ WantedBy=multi-user.target
 - `DEPLOY-OTA-RUNTIME-LIFECYCLE`：主服务必须使用 `RuntimeDirectoryPreserve=yes`；`restart` 不能保护 OTA 的单独 stop。旧更新器升级时，候选迁移入口必须在停旧服务前安装、重载并核验运行期保护 drop-in，保护请求、日志和进度直到成功或回滚结束。运行数据仍由整机重启清空；临时 drop-in 按事务登记清理，不覆盖用户配置。必须使用真实 systemd unit 复现和验证生命周期，mock 不能代替验收。
 - `TEST-OTA-LOG-RESILIENCE`：诊断目录意外丢失时尝试恢复日志；写入失败保留有限缓冲并输出不含配置或凭据的降级提示，不能阻止回滚或覆盖原始异常。恢复完成不代表升级成功，失败状态与原因必须保留。
 - OTA 当前版本修复必须经用户明确授权，归档旧产物和记录；实际验收的候选包按摘要原样晋升，原子替换当前产物与记录，失败不改写原件、不推进版本。本次 1.1.0 必经节点修复适用此流程。
+- `DEPLOY-OTA-OFFLINE-CLOSURE`：导出 OTA 前必须核对设备端直接 Python 依赖的离线 wheel、固定版本及 SHA-256 清单；候选包的实际载荷还必须通过 Debian 12／AArch64／Python 3.11 无网络依赖解析和隔离安装。电脑端测试工具依赖不得误入设备端 `requirements-dev.txt`；板端完整 pytest 所需夹具必须随设备源码携带，不能引用 OTA 载荷外的移动工程。缺件或解析失败时不得发布或推进版本。
+- `DEPLOY-OTA-CANDIDATE`：新 OTA 先导出到正式目录外，候选阶段不修改 `VERSION` 或发布记录。真实设备试装报告绑定候选 SHA-256、目标版本、安装健康与恢复结果；晋升时逐字节复核候选、当前源码、离线依赖和报告，再把同一字节包原子发布。任何失败不得占用版本或留下半成品；已登记的坏包保留原字节并在其 README 明确警示。
 
 - `DEPLOY-OTA-CHECKPOINT`：从 1.1.0 起，新增或变更系统软件依赖须增加 minor 并归零 patch；每个 `.0` 是软件安装包且逐个必经。同系列补丁允许跳跃；跨多个系列必须先安装下一个 `.0`，即使调试设备已装依赖也不能跳过版本节点。升级策略与依赖摘要保存在源码，不能引用历史导出目录。
 - `DEPLOY-OTA-COMPONENT-TRANSACTION`：1.1.0 兼容旧 v1 包协议，依赖放在 software 内；后续包用 v2 阻止正式旧更新器越级。旧 worker 的候选迁移入口在实际 pytest 通过后执行组件事务，独立监护与开机恢复处理失败/中断。frpc 完整匹配则跳过，否则离线修复；保留配置、选择项、权限和启停状态，首次默认关闭。普通补丁不携带系统二进制，缺失依赖时拒绝更新并提示修复。维护账户必须可靠确定，不依赖 OTA 环境的 SUDO_USER。