R1.4 测试与 PR 报告

来源：UniDesk #1756
PR：UniDesk #1758，非 draft；未合并、未部署。
定向测试：29 pass、0 fail、314 assertions。
正常路径测试：实际执行 control-plane provenance postprocess，最终 Pipeline 精确包含共享四字段，并保留非 provenance annotation。
fail-closed：覆盖 target YAML 缺失、错误 owner、错误 renderer、错误 mode 与任意四键伪造。
只读原入口：source-artifact plan 成功，desired hash 为 sha256:3fb6e00ba833...，旧 source artifact 仍正确判为 drifted。
自动交付边界：未手工触发 CI/CD；合并后的交付只允许走 GitHub webhook → Gitea mirror → PaC → CI/CD。