feat: ship Sherlock Cloudflare desktop updates

[hyf901111-design]

Promotes the exact Sherlock 0.6.3 source currently published to Cloudflare, adds the explicit 28 by 28 sidebar download control, and includes the self-signed macOS packaging and Cloudflare release workflow for updates.evanarts.com. Focused updater and release tests plus typecheck pass; the macOS 0.6.2 to 0.6.3 differential update was verified end to end. Integration note: upstream main advanced by 55 commits and upgraded Harness from 0.1.0-rc.7 to 0.1.1-rc.1 after this release snapshot was cut. The branch is intentionally kept identical to the deployed 0.6.3 package instead of force-resolving runtime patch conflicts and producing source that no longer matches the published binary.

[yaojin3616]

感谢这段时间对 Sherlock 版本所做的开发和验证。我们重新检查了这个 PR 的当前 head，结论是它不适合再作为一个普通功能 PR 合入 DSH Desktop 主线，主要原因如下：

1. 它已经是一套完整的下游产品分支，而不是单一的 Cloudflare 更新功能。 当前改动包含 245 个提交、309 个文件、约 8.2 万行新增，除了更新系统，还混合了 Sherlock 品牌、研究画布、搜索、业务 Skill、发布脚本和大量产品专属资源。
2. 运行时基线已经不兼容。 PR 当前仍基于 @deepseek-ai/dsh@0.1.0-rc.7 并维护大量 rc.7 补丁；主线已经使用打包的 Harness 0.1.2-alpha.1。直接合并会把旧运行时补丁重新带回主线，并覆盖当前的 Profile、发布和安全边界。
3. PR 描述与当前内容已经不一致。 描述仍是“Sherlock 0.6.3 的发布快照”，但当前 package.json 已经是 Sherlock 0.7.6。该分支同时落后主线 128 个提交，当前存在合并冲突，原来的 0.6.3 验证结果不能代表现在这 245 个提交的整体状态。
4. 发布基础设施是产品专属的。 updates.evanarts.com、Cloudflare 发布、自签名 macOS 流程和 Sherlock 品牌配置属于下游发行策略；DSH Desktop 主线目前已经有自己的更新地址、签名/公证和多平台发布流程，不宜相互覆盖。

因此，这个 PR 建议继续作为 Sherlock 的独立下游分支维护，不按当前整体快照合入。若其中有适合 DSH Desktop 的通用能力，请分别基于最新 main 和当前 Harness 版本拆成小型 PR，去掉 Sherlock 品牌、专属发布配置和业务资源，并为每项能力提供独立测试。这样我们可以逐项评估和合入。