build(hololake): bind mac candidates to exact source

product-source/hololake-platform/docs/skills/internal-release-packaging/SKILL.md

@@ -26,7 +26,7 @@ pnpm package:internal:windows
 
 ## 构建前检查
 
-1. 工作树干净，当前分支包含目标 UI 和资源。
+1. 工作树干净，当前分支包含目标 UI 和资源，并显式传入当前 `HOLOLAKE_DEVELOPMENT_ID`。
 2. `tauri.conf.json`、`Cargo.toml`、`package.json` 版本一致。
 3. 运行相关测试、lint、TypeScript/Vite 构建。
 4. 确认公共研发入口和 GLS 文件已经进入源码：
@@ -45,6 +45,13 @@ pnpm package:internal:windows
 - Windows 载荷必须为 `PE32+ x86-64`，NSIS 安装包必须存在；
 - 每个安装包必须生成同名 `.sha256`，回传后再次校验。
 
+`scripts/internal-release-provenance.mjs` 是来源硬门：
+
+- 构建前只接受干净工作树，并把 REPO-014 完整提交、根树、`main` 分支、当前架构编号与版本、应用版本、开发编号、分发类型和目标架构写入包内 `build-provenance.json`；
+- 打包后必须从应用包中精确找到且只找到一份来源记录，并逐字段回读一致；
+- 来源记录在签名前进入应用资源，签名后补写任何文件都会破坏封印，不能作为发布流程；
+- 来源记录只证明制品从哪份源码构建，不证明安装、部署、运行健康或人格主控权限。
+
 内测 Mac 包是 ad-hoc 签名、未公证；Windows 包在没有商业证书时未做 Authenticode 签名。交付时必须明确说明，不能描述成正式签名发行版。
 
 ## Windows 构建恢复顺序