[tiye]

使用者需要注意

• 拿不到COS凭据的依赖机器人/普通PR仍执行全部编译、类型与业务测试，只告警并跳过前端预览上传，不再因空bucket把已通过的检查标红。
• 生产缺少bucket/id/key任一项仍立即失败，阻止后续rsync。不会给依赖机器人开放Actions secret，也不使用pull_request_target。
• 本PR只改工作流及说明，不改业务代码、工具链、依赖、生产CDN/服务器路径，不合并或触发生产部署；正式Calcit0.30.1迁移仍另行推进，不能以此CI修复冒充升级完成。

修改与验证

• 复现来自 依赖PR55失败日志：上传步骤的COS输入为空，报Missing required input: bucket。原同仓库判断不证明拥有凭据。
• 原事件/同仓库资格条件不变，在其后检查三个非空凭据；只有available=true才调用原cos-upload-action@v1.2.0，public-base-url与内置verify不变，没有额外上传验证脚本。
• YAML语法通过，实际工作流中的shell门禁已用PR/push × 三个凭据全部8种存在组合测试，共16项：PR缺项跳过，生产缺项exit1，齐全时允许上传。只用合成值，不做真实上传或读取secret。
• 所有原source/strict/public/build/test命令保持，Snapshot/deps/package/lock逐字不变。候选CI等待本PR实际运行；原Dependabot分支未修改，原PR需在此修复合并或同步后重跑，不能声称旧run已经修复。

风险边界

跳过预览必须有warning，不能冒称上传/公开验证成功；正常带凭据PR仍按原隔离前缀上传。生产上传和部署保留原失败语义。此修改不解决未授权组织secret本身，也不绕过TLS或COS内置校验。