目录	内容	生命周期
`核桃派镜像/`	官方镜像说明、摘要及本地镜像暂存位置	IMG 由仓库外渠道发行，不进入 Git；本地副本不得原地修改
`导出包/<版本>/`	版本化 IMG 的说明、manifest、摘要及本地产物位置	IMG 由仓库外渠道发行，不进入 Git；缺失默认正常，不影响开发
`其他依赖/`	AArch64 wheel、Debian 包、预编译内核、固定内核源码和依赖生命周期	随软件依赖同步维护
`OTA数据包/<版本>/`	版本化 OTA 更新包	今后长期保留，不作为后续构建输入；1.0.1 缺失为已接受的历史例外
`镜像编辑器/`	Windows 编辑器源码和绿色程序	编辑器使用独立版本并覆盖旧程序

所有 *.img 均由仓库外渠道发行并被 Git 忽略；仓库只保留对应 README、manifest、SHA-256 和发布记录。官方基础 IMG 或导出 IMG 缺失默认视为本机尚未取得或用户主动清理，不报故障、不追补、不自动重建，也不阻塞开发、常规测试或后续构建。OTA 今后保留；已缺失的 1.0.1 不再追补或重复提醒，原发布记录保留。

普通开发不需要读取大型镜像或导出目录。只有用户明确要求导出镜像、维护离线依赖或更新编辑器时才进入本流程；但新增或删除软件运行依赖时，必须在同一次功能修改中同步 其他依赖/。

镜像中的首次启动配置包含账户和 Wi-Fi 明文。未修改正式 IMG 的发布目录 README 必须写明该镜像故意公开的默认账户与 Wi-Fi 四项值并提示立即修改；这是唯一允许记录这些默认值的发布文档。当前设备或开发机凭据仍不得进入正式导出说明、发布记录、源码或镜像。定制镜像应按秘密文件保护；写卡成功后，首启程序会尽力覆盖并删除卡上的明文配置。

镜像格式 v3 分两层完成：标准库构建器从未修改官方 IMG 复制件生成应用离线 bundle，FAT16 只写固定双槽配置、v3 元数据和首启入口；随后 Linux root bootstrap 向复制件根分区写入应用 bundle、已登记的预编译内核载荷、一次性 root systemd 服务和受管 SSH 策略，同时清除继承的网络和设备身份。rootfs 注入前必须保留“两类压缩载荷 + 256 MiB”；FAT 必须在候选内核五个 boot 文件、启动脚本临时/回滚文件和状态文件实际预算之外再保留 32 MiB，并在构建端和设备安装端各检查一次。SSH 在首启 oneshot 完成前受 systemd 排序阻止，成功自动重启后才使用镜像配置账户开放。内核固定源码不进入镜像。两层及最终只读挂载验证全部成功后才可登记为正式产物。

正式镜像必须通过 核桃派软件源代码/scripts/export_release.py image 构建，禁止直接调用旧的 FAT 原地刷新脚本。新版本先用 --candidate-output 在正式目录外构建；同一字节候选通过摘要绑定的真实 TF 卡正向验收后，再用 --validated-candidate 和 --validation-report 晋升，晋升前会重建期望 bundle 并重新只读验证。候选阶段不得修改 VERSION、发布记录或正式目录。当前版本坏包的授权修复继续使用 --repair-current。构建主机只需 Python 标准库与已检查的 Linux 镜像工具，不得用安装 Pillow/FontTools 的临时 venv 掩盖导出器导入错误；构建不访问网络。

正式 OTA 使用同一入口的 ota --candidate-output 先在正式目录外构建；导出前核对设备端直接 Python 依赖、固定版本及 wheel 摘要清单。对候选包实际载荷做目标架构无网络解析和板端隔离安装，再按摘要执行真实 OTA、恢复试装前设备状态，最后使用 ota --validated-candidate --validation-report 原字节晋升。候选和验收失败均不推进 VERSION 或发布记录；1.1.2 是保留原字节并在其 README 标记的不可用历史包，1.1.1 可直接安装 1.1.3。

Windows 与 Linux 构建机之间传输时，先在 Codex 临时目录生成不含凭据的项目快照及 IMG 压缩副本，并在解压前后分别校验 SHA-256。PuTTY SCP 对中文远端路径不可靠时，只在明确的远端临时根建立 ASCII 下载目录；同文件系统可使用硬链接避免复制第二份大型 IMG，启用 protected_hardlinks 时仅用 sudo 创建这些明确硬链接。官方 SHA256SUMS 使用相对文件名，必须在清单所在目录校验。传输、解压、loop、挂载和 ASCII 下载目录在产物回传并复核后按明确绝对路径清理。