FR-167.P2-3 發布 CLI guidant-release（決策者電腦）：init-keys 一正一備（passphrase）、publish <版>（取草稿、核內部先裝結果、蓋章、送回）、withdraw、rotate-key（舊鑰背書新鑰）（update-center）

本卡屬 FR-167（母卡 CM-3241），卡 P2-3，階段 P2 更新站、批 2。只改 update-center（新 repo）。依賴：P2-1。

這張卡做什麼（白話）

決策者電腦上的發布指令：第一次產一正一備兩把印章（私鑰加 passphrase），之後每版 publish 會先確認內部機器都裝成功了才蓋章送回更新站；還有撤回與換印章。私鑰與 passphrase 從頭到尾不離開決策者電腦。

為什麼切這一張

私鑰只在這裡出現；流程要擋「內部先裝沒過就發布」

reuse／extend／new

new（CLI，TS，同 repo cli/，Node 22 內建 node:crypto）：Ed25519 簽章封包格式與 kid 規則照授權中心同一套，不另創；私鑰檔用 PKCS8＋AES-256 passphrase 加密、600；passphrase 從 TTY 讀，不收參數不讀 env

在哪裡

repo：~/Projects/Billows/Audit-Manager/update-center
新開：update-center/cli/guidant-release.ts（bin：guidant-release）
新開：update-center/cli/README.md

怎麼做

細節在 design.md §5 對應段（~/Projects/Billows/Audit-Manager/compliance-manager-be/docs/features/FR-167-2610-online-update-channel/design.md，開 design.html 看導覽）；本段只列本卡要做到的點：

cli/guidant-release.ts（tsx 跑或打包成單檔 bin）：init-keys（Ed25519 兩組，kid＝公鑰 sha256 前 16 hex，私鑰 PKCS8＋AES-256-CBC passphrase 加密、600，印備用封存說明）、publish <版>（GET 草稿、核 internal_fingerprints 全部 succeeded、填 issued_at、簽 release.json canonical JSON、POST 回）、withdraw、rotate-key（新清單舊鑰新鑰各簽一份）。
簽章封包格式與 kid 規則對照授權中心（LC repo modules/licensing 的簽章段），同一套；passphrase 用 readline 關 echo 從 TTY 讀。
測試：vitest 對 CLI 函式；publish 在內部先裝未全成功時拒；簽出來的清單用 .pub 以 WebCrypto 驗得過。

怎麼驗（開發期：你在本機／DEV 就要能做完）

init-keys 產兩組、備用印出封存說明、私鑰檔 600；publish 1.28.0 在內部先裝未全成功時拒絕；成功後更新站狀態變已發布且簽章可用 .pub 驗過；rotate-key 產的新清單用舊鑰與新鑰各簽一份；passphrase 不進任何檔與 log

對照雛形：~/Projects/Billows/Audit-Manager/compliance-manager-be/docs/features/FR-167-2610-online-update-channel/prototype/index.html（上方「跟著走」）。

紀律

🔴 這張卡的驗收只寫你在本機／DEV 就能做完的事（開發期無人盯）。要 190 主機、跑 pipeline、真 Cloudflare 部署、PROD 印章的情境不在你這張卡，那是測試期首腦做。卡上「怎麼驗」列的每一條你都要親手跑過、把結果貼回寫；做不到的寫明做不到，不要為了驗而去碰 190／STG／POC／真帳號部署。
🔴 不重複造輪子：寫任何新函式／元件／service 之前先按行為 grep 真實程式碼，再查 docs/claude/domain-capabilities.md。三擇一、預設不新增：reuse → extend 加參數 → 都沒有才新增。回寫列出 reuse 了哪些、新增了哪些、為什麼不能 reuse。