feat: trusted release keys setting; drop the duplicate release registration route [CI]

The panel now lets the deployer decide which release keys it trusts. The
official CI key is built in and always trusted; an own P-256 public key can be
added (off by default, the private key is rejected) so manifests signed with it
are accepted too. Removing it drops the manifests only it signed. Changes are
audited and need update.confirm.

Admin UI: System > Trust > "Trusted release keys" with a collapsible guide on
generating a key pair and signing a manifest with openssl.

Registration now has one path, POST /api/release/offer (no token, signature
verified). The admin POST /releases route, the release.publish capability and
the ci-release preset are removed.

docs/access.md

@@ -65,7 +65,6 @@
 | 数据 | `data.read` · `data.write` | 原始块、导出；清理 | |
 | 设置 | `settings.read` · `settings.write` | 站点设置、保留策略、重启计划 | |
 | 更新 | `update.read` · `update.confirm` | 看 Backend 更新、确认更新 | |
-| | `release.publish` | CI 登记发布清单（只此一件事） | |
 | 令牌 | `keys.read` · `keys.manage` | 列出、创建、撤销 API key | |
 | 账户 | `accounts.manage` | 账户、passkey、操作员集合 | 是 |
 | 运维 | `audit.read` · `ops.metrics` | 审计日志；`/metrics` | |
@@ -133,7 +132,7 @@
 | 普通 key | 不要 | 勾选的非信任类能力（只读、运维、CI 发布等），只能是创建者能力的子集 |
 | `enroll` key | **要，签一次** | 勾选的非信任类能力 + `fleet.enroll`（可吊销自己加的节点） |
 
-- 现有令牌迁移（破坏性）：`read` → 全部 `*.read`；`admin` → 全部非信任类能力；`release` → `release.publish`。迁移后，旧的 admin 令牌不能再生成加入代码，需要换成 `enroll` key。
+- 现有令牌迁移（破坏性）：`read` → 全部 `*.read`；`admin` → 全部非信任类能力；`release` 令牌已取消（CI 登记发布清单不需要令牌，见 `POST /api/release/offer`）。迁移后，旧的 admin 令牌不能再生成加入代码，需要换成 `enroll` key。
 - 每把 key 可设：有效期、可选的 IP 白名单（CIDR，**待确认**）、`enroll` 类的数量上限和单券 TTL 上限；预留：资源范围、速率和数据配额（见 5.4）。
 
 ### 5.2 `enroll` key：自动化添加节点