Read release digest and scope helper-image reproducibility

[chen21019]

結果

• 不再依賴 Docker push 後不保證存在的本機 RepoDigests 陣列。
• 使用儲存庫鎖定的 Buildx，直接讀取 GHCR manifest digest。
• Dapper 只是可拋棄的建置環境；重現性門檻改為比對鎖定套件、工具鏈 binary／manifest、來源輸入與實際發布的 runtime image，不再因 Ubuntu 套件 maintainer script 的非決定性 layer metadata 阻擋發行。
• v3.1.5 已由 GHCR 讀回 digest sha256:ef30f156526ccda150f4b174b29f113fc093c1eb0af277a460493cdbd7385a24。

驗證

• release.yml 與 supply-chain.yml YAML parse。
• Shell syntax 與 git diff --check。
• 兩次完整 CI 已證明 runtime archive、binary、工具鏈與套件 manifest 一致；只有 Dapper helper image 的一層 metadata 不同。
• GitHub Packages API 確認純數字 tag 與遠端 digest。
• 儲存庫鎖定 Buildx v0.36.1 支援 imagetools inspect --format '{{.Manifest.Digest}}'。

正式 release workflow 仍會重新執行建置、測試、SBOM、Trivy、push、attestation 與精確 cleanup。