feat(builder): load publish credentials from .env.builder

Keep DEB/Docker publish keys out of the project's .env. Scripts and
check.py --ready only read .env.builder; empty values count as missing.

skills/builder/README.md

@@ -18,19 +18,19 @@
 
 对新项目说「用 builder 初始化」。Agent 会探测轨道、按
 `templates/makefile.builder` 写出项目根 `makefile.builder`，并列出缺的发布配置。
-不改用户已有的 `Makefile`。
+不改用户已有的 `Makefile` 或 `.env`。
 
 1. `makefile.builder` 目标：`help/build/clean/version` + 条件 `deb/docker/push*`，
    变量 `ARCH/VERSION/DIST_DIR/PROJECT_NAME`。
    `VERSION` 通过 `include <builder>/scripts/version.mk` 从 Git 推导。
 2. 运行 `python3 -I -S <builder>/scripts/check.py . --ready` 直到构建项 PASS。
    缺发布键只挡住上传，不挡住构建。
-3. 在项目根 `.env` 配置发布环境变量：
+3. 在项目根 `.env.builder` 配置发布环境变量（不要写进 `.env`）：
 
 ```text
 DEB_SERVER_URL=https://deb.example.com
 DEB_REPOSITORY=main
-DEB_TOKEN=<token>            # 只放 .env 或密钥系统，不进 git
+DEB_TOKEN=<token>            # 只放 .env.builder 或密钥系统，不进 git
 DOCKER_REGISTRY=registry.example.com
 ```
 
@@ -104,6 +104,7 @@ detached HEAD 用 `detached`，CI 可注入 `BUILD_BRANCH` / `CI_COMMIT_BRANCH`
 |------|------|
 | `scripts/check.py` | 校验契约（`--ready` 含工具链与发布键名，`--build` 实构核对产物） |
 | `templates/makefile.builder` | 初始化用的契约文件骨架，拷到项目根 |
+| `templates/env.builder` | 初始化用的 `.env.builder` 骨架（注释键，不含值） |
 | `scripts/version.sh` | 从 Git 祖先稳定 tag 推导规范版本 / Docker tag |
 | `scripts/version.mk` | `makefile.builder` `include`，设置 `VERSION` 与 `IMAGE_TAG` |
 | `scripts/upload_deb.sh` | 上传 `.deb` 到 HTTP 包仓库（multipart package/token/repository_name） |