GitHub Actions + 阿里云 OSS：OIDC 免密同步构建产物

实施过程中还修了一个附带问题：electron-builder 的
--publish always 会把 beta/rc 预发布 tag 也发到 GitHub Releases，而我们的 OSS 同步没有区分预发布和正式版，导致
latest.json 被 beta 版本覆盖，官网下载链接指向了测试版。