ci: route validation by checked commit scope

[WardLu]

变更说明

• 将 CI checkout 固定到事件 SHA，避免分支推进时检验了其他提交。
• 文档或独立发布文件改动采用保守的检查范围路由；未知范围、fork PR 和查询失败均运行完整检查。
• 保留 verify required check；核心检查始终运行，必跑步骤缺失、跳过或失败会使门禁失败。
• 为 SHA、push、PR、失败回退及步骤门禁增加离线回归测试。

变更类型

• 安全加固
• 重构/性能

验证记录

• node --test tests/ci/*.test.mjs：7 项通过。
• node --test tests/release/contracts/*.test.mjs：22 项通过。
• SECURITY_CHECK_HISTORY=1 npm run verify：静态检查、构建及 471 项单测通过。该命令已覆盖 test:fast 的 check 与 unit 范围，故未重复运行 test:fast。
• npm run release:check、npm audit --audit-level=high、npm run public:check、npm run security:check、npm run check、actionlint .github/workflows/ci.yml：通过。
• npm run check:integration -- --strict：基于最新 origin/main，ahead/behind 1/0，无基线冲突。
• 公开仓库 staged 与 changed-since 检查通过；提交仅含 4 个预期文件，无敏感数据或额外生成物。
• 本地未重复执行数据库、Functions 与 E2E：其命令未修改；本 PR 的工作流变更会选择完整 CI 路线。托管 CI 与 CodeQL 以最终 PR 提交结果为准。当前本机无 CodeQL CLI；已定向检查输入只作为 Git 参数、fork 回退完整路线、只读权限和失败回退。

Release impact

本 PR 仅调整内部 CI 和测试，不涉及共享数据库提案、生产配置、部署、正式 Release 或生产验收后续工作；无需 db-migration 或 production-impact 标签。无测试环境外部配置改动，也无用户可见行为或文档变更。非生产 hotfix。

[vercel]

The latest updates on your projects. Learn more about Vercel for GitHub.

Project	Deployment	Actions	Updated
shadow-mate	Ready	Preview	Sep 26, 2026 1:50pm UTC