feat(server+web): 客户端下载闭环——pangolin-server /downloads + 官网下载链接

- server: /downloads/* 公开静态服务(NewDownloadsHandler,DOWNLOADS_DIR 默认
  /var/lib/pangolin/downloads),防目录穿越/不列目录/缺目录不崩,Cache-Control:
  no-cache 保证 CI 覆盖后永远最新。挂在 /healthz 同级(免鉴权)。含 4 项测试。
- deploy.sh: install -d 下载目录 + server.env 注入 DOWNLOADS_DIR。
- web: site.ts 增 downloads.{android,windows}(→ https://api.yanmeiai.com/downloads/*);
  Download.astro 接上 Android/Windows 按钮,iOS/macOS/Linux 改「即将推出」禁用态。

Co-Authored-By: Claude Opus 4.8 <noreply@anthropic.com>
Claude-Session: https://claude.ai/code/session_013nMthbVEmQquxBRKb9Fj8u

deploy/single-node/deploy.sh

@@ -177,6 +177,7 @@ GRPC_CERT_PATH=$ETC/grpc.crt
 GRPC_KEY_PATH=$ETC/grpc.key
 PANGOLIN_PUBLIC_URL=https://api.yanmeiai.com
 PANGOLIN_RULES_DIR=$DATA_DIR/rules
+DOWNLOADS_DIR=$DATA_DIR/downloads
 EOF
 if [ -n "${SMTP_HOST:-}" ]; then
   cat >> "$ETC/server.env" <<EOF
@@ -201,6 +202,15 @@ curl -fsSL -o "$RULES_DIR/geosite-cn.srs" \
   https://github.com/SagerNet/sing-geosite/raw/rule-set/geosite-cn.srs \
   || log "WARN: geosite-cn.srs 拉取失败,国内分流将不可用"
 
+# ── 6c. 客户端安装包下载目录 ──────────────────────────────────────────────────
+# scripts/ci/deploy-client.sh 把最新 pangolin-android.apk /
+# pangolin-windows-x64-setup.exe scp 到这里(每平台只保留最新一份),控制面
+# GET /downloads/<file> 静态服务、官网下载按钮直链。这里先建目录占位(CI 首次
+# 部署前跑本脚本也不会因目录缺失而 404 时找不到目录本身;DownloadsHandler 本身
+# 即便目录不存在也能正常注册路由,只是请求会 404)。
+DOWNLOADS_DIR="$DATA_DIR/downloads"
+install -d -m 755 "$DOWNLOADS_DIR"
+
 # ── 7. 迁移 + seed(SQLite)────────────────────────────────────────────────────
 log "执行迁移(sqlite)..."
 DB_DRIVER=sqlite DB_DSN="$DB_FILE" "$BIN/pangolin-migrate" up