fix(ci): release-server 首次实跑修复 + go 工具链 sha256 pin

- lib-forgejo/release-server: 5 处 read -r X < file 在 set -e 下遇无结尾换行的
  EOF 会返回 1 静默中止(ver_from_tag printf 无换行、curl -w http_code 无换行);
  逐处加 || true 容错(值已赋)。
- lib-forgejo: 空数组 ${FORGEJO_CURL_TLS[@]} 在 set -u 下老 bash 报 unbound;
  改 empty-safe 展开(可移植 + 本地可测)。
- deploy-server.yml: Setup Go 加 sha256 校验(供应链完整性, 防镜像篡改注入工具链)。

Co-Authored-By: Claude Opus 4.8 <noreply@anthropic.com>
Claude-Session: https://claude.ai/code/session_013nMthbVEmQquxBRKb9Fj8u

scripts/ci/release-server.sh

@@ -20,7 +20,9 @@ TAG="${1:?usage: release-server.sh <tag>}"
 ver_file="/tmp/release_server_ver.$$"
 ver_from_tag server "$TAG" > "$ver_file"
 VER=""
-read -r VER < "$ver_file"
+# `|| true`: ver_from_tag 用 printf '%s'(无结尾换行),read 到无换行的 EOF 会返回 1
+# (但 VER 已正确赋值)——set -e 下会静默退出。容错 read 的这个退出码,不掩盖真错。
+read -r VER < "$ver_file" || true
 rm -f "$ver_file"
 
 echo "==> release-server: tag=${TAG} ver=${VER}"