跟新 CICD，每次制作 ota 升级包

readme

@@ -92,3 +92,23 @@ node scripts/build-ota.mjs   # 打成 tar.gz + 签名 + latest.json
 
 Web 浏览器访问 (同源) 时, 服务端返回简化版 manifest, 仅显示"有新版本请刷新".
 Web 端不会自动下载包, 也不会替换前端代码.
+
+
+### CI 自动签名 (Gitea Actions)
+
+.gitea/workflows/ota-build.yml 是手动触发的 OTA 打包工作流 (每次发版前点一次).
+
+**配置 secret** (Gitea 仓库 -> Settings -> Actions -> Secrets):
+- MINISIGN_PRIVATE_KEY: 完整 .key 文件内容, **整段** (含首行 `untrusted comment: minisign encrypted secret key` 和 base64 行), 整段作为多行 secret 粘贴即可.
+
+**使用流程**:
+1. 在 Gitea Actions 页面选 OTA Frontend Build & Sign -> Run workflow
+2. 填 sequence (可选, 不填用时间戳) 和 
+otes (可选)
+3. CI 跑完会在 artifact 里看到 ota-package/iboard-ota.tar.gz + latest.json + iboard-ota.tar.gz.minisig
+4. 下载 artifact, scp 到服务器 OTA_PACKAGE_DIR 目录
+5. 客户端"我"页 [检查更新] 即可触发升级
+
+**注意**:
+- CI 用的私钥必须**与** 	auri.conf.json 里 plugins.hotswap.pubkey **配对**; 换密钥时需要同时更新 CI secret 和 conf.
+- 不要把私钥 commit 到 git, 整个 ota-package/hotswap.key 已被 .gitignore 排除.