Initial LinuxCNC WebAssembly workspace snapshot

vendor/downloads/README.md

@@ -0,0 +1,22 @@
+# 可复现下载缓存
+
+这里登记构建所需的外部物料。允许使用官方地址、中国大陆镜像或已验证的离线缓存；镜像只改变传输位置，不改变物料身份。
+
+每个 `artifact` 记录必须包含：
+
+```json
+{"record_type":"artifact","name":"...","version":"...","source_url":"https://...","origin_url":"https://...","sha256":"64 hex","bytes":123,"license":"SPDX-ID","mirror_kind":"official|china-mirror|local-cache"}
+```
+
+规则：
+
+- `sha256` 必须对实际缓存文件计算，不能填写网页摘要或下载时间。
+- `china-mirror` 必须同时填写可追溯的 `origin_url`；无法核对上游摘要的文件不得进入构建。
+- 同一 `name/version` 只能有一条物料记录；切换镜像但 SHA-256 不变不产生新 context。
+- 物料文件放在此目录或 CI 缓存中，发布前生成离线清单；不把未验证 CDN 内容直接纳入发布包。
+
+校验命令：
+
+```bash
+python3 scripts/validate_download_index.py
+```