ci: use scoped SSH credentials for version push

Jenkinsfile

@@ -188,6 +188,7 @@ pipeline {
         stage('Commit Version Bump') {
             when { expression { !params.SNAPSHOT } }
             steps {
+                sshagent(credentials: ['jenkins-ssh-key']) {
                     script {
                         bat """
                             git config user.email "jenkins@xuqm.com"
@@ -200,6 +201,7 @@ pipeline {
                 }
             }
         }
+    }
 
     post {
         success {

docs/IMPLEMENTATION_HANDOFF.md

@@ -187,3 +187,10 @@ Sample 源码编译时只为静态验证跳过真实签发文件的存在性门
   `false/false`；Debug 为 `true/false`，显式开发测试仍受隐私和平台开关约束。
 - Release 未提供 `XUQM_BUILD_ID` 且启用 configuration cache 时按预期失败；提供显式
   buildId 后配置缓存可保存、复用，生成 Manifest 中的值保持不变。
+# 2026-07-27 Jenkins Git 认证收口
+
+- `sdk-android-publish` 的 Jenkins SCM 已改为 Gitea SSH URL 并绑定
+  `jenkins-ssh-key`；正式版本回写 `gradle.properties` 时也通过 `sshagent` 使用同一
+  凭据，不依赖 checkout 临时环境或 URL 内嵌令牌。
+- Jenkins 作业配置二次读取确认无内嵌凭据。该 Jenkinsfile 修改仍需在下一次实际
+  发布中验证版本回写阶段。