ci(governance): land iteration 03 governance foundation (M0-M5)

[cloudQuant]

Bootstrap PR（迭代03 治理基线落地）

按 docs/迭代计划/迭代03-开源项目治理与社区PR协作/正式迭代计划.md M1 步骤 2/6 执行的 bootstrap 合入。

包含里程碑

• M0 docs(governance): freeze policy decisions and baseline (89de4008)
• M1 docs(governance): bootstrap the dev integration model (31fdf8fc)
• M2 docs(community): add secure contribution entry points (414608a1)
• M3 ci(governance): codify ownership and ruleset verification (e330cef6)
• M4 ci(governance): enforce risk-aware PR summaries (d559cb69)
• M5 ci(release): protect publication and submodule promotion (198f88a6)

决策门状态

• D0/D1/D2/D6/D7/D8 approved；D5 表单部分 approved
• D3(master 双人审批) blocked：master ruleset 保持 disabled，不宣称 master 完整治理
• D4 blocked：pypi/testpypi Environment、trusted publisher、tag rule 待管理员动作
• D5-PVR blocked：Private Vulnerability Reporting 未启用

后续链路

bootstrap 合入 → 同步 PR master→dev → 切默认分支为 dev → 五类草稿 PR 演练 → Ruleset Active

风险/影响

risk:r0 — 纯治理文档、CI workflow 与验证器；不触碰 BtApi、适配器、实盘逻辑。

[cloudQuant]

演练发现并已修复的问题（M4/M6 观察期产出）：

1. pr-governance.yml summary 步骤 Markdown 围栏被当作裸命令执行（exit 127）→ 已改用 echo，修复后 PR Governance / Summary 与 Submodule Gate / Summary 均通过。
2. 首次真实运行暴露历史质量债务（旧触发器只筛选不存在的 main/develop，Quality Gate 从未执行过）：ruff 627 项、格式化 44 文件、mypy 73 项。清偿 PR 将另行提交。
3. alpaca 插件集成测试路径错误且依赖本地检出 → 已修正路径并在插件缺失时跳过。
4. 本地基线套件：628 passed / 覆盖率 74.98%（门槛 40%）。