回执与权威状态绑定

用途：让“完成”这个结论可被第三方独立核对

问题

如果结论只是文本（“测试通过”），它无法被验证，也无法防止过期结论被反复引用。必须把结论绑定到不可伪造、可复查的外部状态上。

字段	作用
`commit` + `branch`	结论针对的确切代码状态
`diff_digest`	变更范围摘要（文件列表、行数、关键符号）
`checks[]`	每项检查的名称、命令、退出码、耗时、输出摘要（哈希）
`metrics`	用例数、断言数、覆盖率、变异杀伤率等数值
`environment`	执行环境标识（CI provider + run id，或本机指纹）
`verdict`	四值判定结果与不通过原因列表
`issued_at` / `expires_at`	结论时效（代码变了旧回执即失效）
`signature`	由门禁而非 Agent 生成，可校验来源

权威状态优先：以 Git 提交与 CI 运行为准。工作区未提交的修改、本地临时运行结果不能作为交付依据。
不匹配即失效：当前 HEAD 与回执 commit 不一致 → 结论作废，重新执行。这防止“拿旧绿灯交付新改动”。
等价指纹复用：如果两次执行的输入指纹完全一致（同一 commit、同一配置、同一环境镜像），可复用结论以免重复跑；指纹必须覆盖所有影响结果的要素，宁可少复用不可错复用。

若 Agent 可以自行编写回执文件，它就成了裁判。签名/生成权必须掌握在 Agent 无法写入的组件里：CI 服务端产出、受保护分支上的检查、或独立验证进程。

Agent 提交 → 门禁执行 → 回执写入 PR（由系统而非作者）→ 评审人看回执与 diff
          → 合并要求：verdict == PASS 且 commit 与 HEAD 一致

合并保护规则应要求“最新提交上的通过检查”，而不是“曾经通过过”。