隔离上游 Firebase 并加固构建安全

[coding-back01]

变更内容

• 移除继承的 Firebase Google Services 配置、插件及 Analytics、Performance 依赖
• 删除公开的 legado.jks 和测试工作流中的硬编码签名配置
• 将 Test Build 收敛为单元测试和 Debug APK 构建，失败时立即停止
• 保留现有 Secrets-only 手动正式发布流程
• 更新忽略规则、隐私政策和完整 OpenSpec 变更工件

原因

该仓库作为独立开发仓库，不应继续向上游 Firebase 项目发送遥测数据，也不应使用公开签名身份。原测试工作流还允许 Gradle 构建失败后继续执行，可能产生误导性的成功结果。

影响

• 当前构建不再初始化 Firebase Analytics 或 Performance
• CI 只产生 Android Debug 签名的开发验证 APK
• 正式发布仍要求本仓库的 RELEASE_KEY_STORE、RELEASE_STORE_PASSWORD、RELEASE_KEY_ALIAS 和 RELEASE_KEY_PASSWORD Secrets
• 不修改 Room、书源、订阅源、JSON、导入 URI、备份或业务功能
• 不处理现有 Dependabot PR

验证

• :app:testAppDebugUnitTest：通过
• :app:assembleAppDebug：通过
• 82 个 Gradle 任务成功，Debug APK 已生成
• APK 未发现 Firebase 初始化标记，签名为 Android Debug
• GitHub Actions YAML 本地语法解析通过
• openspec validate --all --strict：通过
• git diff --check：通过

后续

• 未运行设备测试和远端 GitHub Actions
• PR 合并后再按事实说明关闭历史 Secret scanning 告警；不声称上游 Key 已被撤销