feat(gitea): attach build artifacts to Gitea releases

The Android release workflow now creates or updates a Gitea
release and attaches the APK and its SHA256 to it. A
GITEA_TOKEN with releases: write is required for uploads.
The README now documents the Gitea release flow and the
required permissions.

- Enforces that releases run only on a tag and matches the app version.
- Replaces or updates release assets to match tag names.
- Requires GITEA_TOKEN with releases: write for uploads.

README.md

@@ -68,10 +68,17 @@ Den Keystore-Inhalt für das Secret erzeugt man unter Linux mit:
 base64 -w 0 /sicherer/pfad/wallpaperflow-release.jks
 ```
 
-Nach erfolgreichem Lauf stehen `WallpaperFlow-release.apk` und die zugehörige
-SHA-256-Prüfsumme als Artefakt des Workflows bereit. Der Keystore darf nicht in
-das Repository eingecheckt werden und muss dauerhaft gesichert bleiben, da
-spätere Updates mit demselben Schlüssel signiert werden müssen.
+Nach erfolgreichem Lauf erstellt die Pipeline ein Gitea-Release für den Tag
+beziehungsweise verwendet ein bereits vorhandenes Release. Die Dateien
+`WallpaperFlow-release.apk` und `WallpaperFlow-release.apk.sha256` werden direkt
+an dieses Release angehängt. Bei einem erneuten Lauf für denselben Tag werden
+vorhandene Anhänge mit diesen Namen ersetzt. Dafür muss der integrierte
+`GITEA_TOKEN` Schreibzugriff auf Releases besitzen; die Pipeline fordert die
+Berechtigung `releases: write` selbst an.
+
+Der Keystore darf nicht in das Repository eingecheckt werden und muss dauerhaft
+gesichert bleiben, da spätere Updates mit demselben Schlüssel signiert werden
+müssen.
 
 Voraussetzung ist ein aktiver Gitea-Actions-Runner mit dem Label
 `ubuntu-latest`, Netzwerkzugriff auf npm, Rust und die Android-SDK-Server sowie