只使用固定 synthetic canary。请按 control → stale-signature → unsigned → cleanup 顺序执行，并用设备端 exact path/size/SHA 作为文件判据。
Signed baseline 只在清单中展示，不自动启动；内置模板可能包含业务资源，未经断网/拦截不得执行。
PREPARING