[Release] 在 GitHub Actions 配置 Android 正式签名

[Qjzn]

背景

v2.4.1 的 Release workflow 已成功生成源码包和 debug 备用 APK，但由于仓库未配置 Android 签名 Secrets，Prepare Android signing files 与正式 release APK 构建步骤被跳过；本次正式签名 APK 由维护者本机验签后补充上传。

目标是让每个 Tag 都能从 GitHub Runner 可复现地生成正式签名 APK，减少人工补传和供应链差异。

验收标准

• 在仓库 Settings 中配置 workflow 所需 Android 签名 Secrets，任何 Issue、日志和提交均不出现明文值。
• 测试 Tag 的 Release workflow 执行正式签名准备和 assembleRelease，不再走 debug fallback。
• Release 自动包含 cx-codex-android-<tag>.apk 及对应 .sha256。
• 下载后的 APK 通过 apksigner 验证，包名、versionName、versionCode 与 Tag 一致。
• APK 不内置私人服务器地址、账号或凭据。
• 在 RELEASE.md 或安全文档记录密钥轮换与失效处理流程。