ci: pin softprops/action-gh-release to commit SHA

[mirkosalvato1-ctrl]

Why

Mutable Action tags (@v4, @main) can be retagged, which is a supply-chain risk.
This PR pins third-party Actions to full commit SHAs while keeping the tag in a comment.
Official actions/* tags are left unchanged (common maintainer preference).

Pins

• softprops/action-gh-release@v2 -> 3bb12739c298
• softprops/action-gh-release@v2 -> 3bb12739c298
• softprops/action-gh-release@v2 -> 3bb12739c298

Reference: GitHub docs on using third-party actions securely.

Summary by Ameath

小爱先把这次核对的重点轻轻收拢一下。

此 PR 将发布工作流中三处 softprops/action-gh-release 引用固定为同一完整提交 SHA，降低发布流水线依赖可变标签的风险。

Chores

• 覆盖发布创建/更新、平台产物上传和 latest.json 上传三个步骤。

Original summary in English

This PR pins the three softprops/action-gh-release references in the release workflow to the same full commit SHA, reducing exposure to mutable action tags.

Chores

• Covers release creation/update, platform-asset upload, and latest.json upload.

[ameath-review]

Reviewer's Guide by Ameath

小爱整理了一条便于继续核对的思路。

重点核查 release.yml 中 release、package 和 latest 作业的三个调用；它们分别创建或更新发布、上传平台产物，以及上传更新清单。

文件级变更

Change	Details	Files
修改文件	1 个文件，+3 / -3	.github/workflows/release.yml

---

Tips and commands

• 重新审查： @Ame4th review
• 重新生成摘要： @Ame4th summary
• 重新生成指南： @Ame4th guide
• 生成标题： @Ame4th title
• 解决本机器人线程： @Ame4th resolve
• 清理本机器人审查： @Ame4th dismiss
• 从行级评论创建 Issue： 回复 @Ame4th issue
• 继续讨论： 直接回复任一行级评论。
• 反馈偏好： 对行级评论点 👍 或 👎。

Original review guide in English

Focus on the three calls in release.yml from the release, package, and latest jobs; they respectively create or update the release, upload platform assets, and upload the update manifest.

[ameath-review]

小爱从细节处留意实现是否顺着目标落稳。

小爱已完成全部变更审查。本次改动脉络清晰，没有发现需要发布的行级问题。小爱给你发一颗小星星！另外有 1 项合并前事项需要留意（风险 1 · 建议测试 0）。

合并前关注点（风险 1 · 建议测试 0）

风险

• PR 元数据未关联现有 issue；CONTRIBUTING.md 要求每个 PR 在描述中链接 issue。