diff --git a/.gitea/workflows/build.yml b/.gitea/workflows/build.yml
index ce9da94..3b82e2c 100644
--- a/.gitea/workflows/build.yml
+++ b/.gitea/workflows/build.yml
@@ -5,6 +5,8 @@ name: build
 # 链路：clone 源码 -> node 容器 npm ci + npm run build -> 打包 dist 为 zip -> 推 Nexus raw -> 通知 projman 建档
 # 依赖仓库 Secrets：DEPLOY_TOKEN（webhook 鉴权）、NEXUS_USER / NEXUS_PASSWORD（上传 zip 到 Nexus raw）
 # 注意：CI 构建后自动建档（status=pending），前端发布仍由用户在「前端发布」Tab 点部署触发
+# 内网约束：job 容器（docker:24）无外网，apk add 不可用——git 用镜像自带；zip 用 git archive 生成；
+# curl 用一次性 node:20 帮手容器执行（node:20 为构建步骤必需镜像，宿主上必已存在）
 
 on:
   push:
@@ -18,10 +20,7 @@ jobs:
       image: docker:24
       options: --network infra-infra-net
     steps:
-      - name: 安装 git / curl / zip（alpine）
-        run: apk add --no-cache git curl zip
-
-      # 内网 Gitea 无法访问 GitHub 拉 actions/checkout，手动 clone 本仓库
+      # 内网 Gitea 无法访问 GitHub 拉 actions/checkout，手动 clone 本仓库（git 为 docker:24 镜像自带）
       - name: 拉取源码（内网无 GitHub，手动 clone 本仓库）
         env:
           GITHUB_TOKEN: ${{ secrets.GITHUB_TOKEN }}
@@ -55,17 +54,28 @@ jobs:
           docker rm -f frontbuild
           echo "BUILD CHECK OK"
 
-      # 打包 dist → zip（进入 dist 目录打包，zip 根目录直接是 html/css/js 文件）
+      # 打包 dist → zip（job 容器无外网、装不了 zip 命令：把 dist 拷进临时目录做成一次性 git 仓，
+      # 用 git 自带的 archive zip 后端打包，zip 根目录直接是 html/css/js 文件，与 zip -r 产物结构一致）
       - name: 打包产物
         run: |
           TAG=$(echo "$GITHUB_SHA" | cut -c1-8)
           ZIP_FILE="aca-classroom-front-${TAG}.zip"
-          cd dist && zip -r "../${ZIP_FILE}" . && cd ..
+          WORKDIR="$(pwd)"
+          rm -rf /tmp/zipsrc && mkdir -p /tmp/zipsrc
+          cp -a dist/. /tmp/zipsrc/
+          cd /tmp/zipsrc
+          git init -q -b main .
+          git add -A -f .
+          git -c user.email=ci@localhost -c user.name=ci commit -qm pkg
+          git archive --format=zip -o "${WORKDIR}/${ZIP_FILE}" HEAD
+          cd "${WORKDIR}"
+          rm -rf /tmp/zipsrc
           echo "ZIP_FILE=${ZIP_FILE}" >> "$GITHUB_ENV"
           echo "TAG=${TAG}" >> "$GITHUB_ENV"
           ls -la "${ZIP_FILE}"
 
-      # 上传到 Nexus raw 仓库
+      # 上传到 Nexus raw 仓库（job 容器无 curl：起一次性 node:20 帮手容器执行上传，
+      # 入 infra-infra-net 与 Nexus 同网；产物经 docker cp 送入，避开宿主/容器路径挂载差异）
       - name: 上传产物到 Nexus
         env:
           NEXUS_USER: ${{ secrets.NEXUS_USER }}
@@ -74,18 +84,24 @@ jobs:
           set -e
           NEXUS_URL="http://nexus.yunhaixingtong.com:8081/repository/front-hosted/${ZIP_FILE}"
           # -f：HTTP >=400 时 curl 以非零退出，仓库不存在/认证失败必须让 job 变红，否则建档的是不存在的 URL
-          curl -sSf -X PUT \
-            -u "${NEXUS_USER}:${NEXUS_PASSWORD}" \
-            --upload-file "${ZIP_FILE}" \
-            "${NEXUS_URL}"
+          docker rm -f frontcurl 2>/dev/null || true
+          docker run -d --name frontcurl --network infra-infra-net -w /w \
+            -e NEXUS_USER -e NEXUS_PASSWORD -e ZIP_FILE -e NEXUS_URL node:20 sleep 300
+          docker cp "${ZIP_FILE}" frontcurl:/w/
+          docker exec frontcurl sh -c 'curl -sSf -X PUT -u "${NEXUS_USER}:${NEXUS_PASSWORD}" --upload-file "/w/${ZIP_FILE}" "${NEXUS_URL}"'
+          docker rm -f frontcurl
           echo "NEXUS_URL=${NEXUS_URL}" >> "$GITHUB_ENV"
           echo "uploaded to ${NEXUS_URL}"
 
       # 通知 projman：webhook 收到后建档（type=front, status=pending），部署由用户在「前端发布」Tab 手动触发
+      # （job 容器无 curl，同上用一次性 node:20 帮手容器执行；token 经 env 传入，不出现在命令行参数里）
       - name: 通知 projman 建档
+        env:
+          DEPLOY_TOKEN: ${{ secrets.DEPLOY_TOKEN }}
         run: |
           set -e
-          curl -sSf -X POST "http://192.168.10.160:8090/projman/api/deploy/webhook" \
-            -H "Content-Type: application/json" \
-            -H "X-Deploy-Token: ${{ secrets.DEPLOY_TOKEN }}" \
-            -d "{\"app\":\"aca-classroom\",\"front\":\"front\",\"tag\":\"${TAG}\",\"sha\":\"${GITHUB_SHA}\",\"message\":\"${COMMIT_MSG}\",\"nexusUrl\":\"${NEXUS_URL}\"}"
+          docker rm -f frontcurl 2>/dev/null || true
+          docker run -d --name frontcurl --network infra-infra-net \
+            -e DEPLOY_TOKEN -e TAG -e GITHUB_SHA -e COMMIT_MSG -e NEXUS_URL node:20 sleep 300
+          docker exec frontcurl sh -c 'curl -sSf -X POST "http://192.168.10.160:8090/projman/api/deploy/webhook" -H "Content-Type: application/json" -H "X-Deploy-Token: ${DEPLOY_TOKEN}" -d "{\"app\":\"aca-classroom\",\"front\":\"front\",\"tag\":\"${TAG}\",\"sha\":\"${GITHUB_SHA}\",\"message\":\"${COMMIT_MSG}\",\"nexusUrl\":\"${NEXUS_URL}\"}"'
+          docker rm -f frontcurl