Harden scoped validation and artifact publishing

[KuGouGo]

变更

• PR 候选构建按 none/custom/full 选择范围，未知路径、删除和重命名失败关闭为 full
• 五个产物分支按统一 cohort 原子发布，保留父历史并使用 expected-SHA lease
• 二进制读回按规则类型和值精确关联，拒绝附加条件、错误策略和无规范参照产物
• 上游健康结果后置记录，补充输入 SHA-256、DLC commit 和失败诊断
• 清理失效 fallback、迁移旁路和旧 CLI，完善清理生命周期与文档
• Actions 固定 SHA 策略测试，Dependabot 改为 weekly 分组更新

验证

• PATH=/opt/homebrew/bin:$PATH REQUIRE_SHELLCHECK=1 make preflight
• 25/25 测试通过
• workflow/Dependabot YAML 解析通过
• git diff --check

本 PR 修改工作流、配置和构建脚本，release-candidate 应选择 full。