chore: record mac dmg packaging

findings.md

@@ -1,5 +1,14 @@
 # Findings
 
+## macOS DMG 打包
+
+- 使用 `pnpm run package:mac` 才会走完整正式打包链路，包括 `bundle-preinstalled-skills.mjs`、OpenClaw bundle、插件 bundle、内置应用 bundle 和 Electron Builder。
+- `pnpm run package:mac:local` 会设置 `SKIP_PREINSTALLED_SKILLS=1`，不适合本次“新增 skill 默认放进去”的要求。
+- `electron-builder.yml` 的 `extraResources` 会把 `build/preinstalled-skills/` 打进安装包的 `resources/preinstalled-skills/`。
+- 应用启动时 `ensurePreinstalledSkillsInstalled()` 会从安装包资源部署到 `~/.openclaw/skills/<slug>`，并按 manifest 的 `autoEnable` 自动启用。
+- 当前机器已有 arm64 `node`/`uv` 运行时；缺少 x64 `uv`。完整 `package:mac` 在 GitHub 下载 x64 `uv` 时可能受网络影响失败，arm64 DMG 可用现有资源继续打包。
+- 本次 arm64 DMG 打包成功，最终 `.app` 深度签名校验通过，DMG checksum 校验通过；但 Electron Builder 因未生成 notarization options 跳过了 macOS notarization。
+
 ## 对话 Markdown 与隐藏提示泄漏
 
 - `[[YINIAN_BUSINESS_RESPONSE_GUIDANCE]]` 泄漏的根因是业务准则被追加进 `chat.send`/cron 的真实 message 字段，Gateway 持久化后作为 user message 回放。