R1.2 任务报告

关联问题：UniDesk #1745。

完成内容

完整比较 Pipeline spec，并输出 canonical hash、provenance 与首个漂移路径，不输出完整 spec 或 Secret。
canonicalizer 只移除六类已验证 Tekton admission default，并严格限定三个合法 spec 根。
source worktree 校验绝对路径、Git 根、精确 remote identity 和 symlink 边界；写入采用同目录临时文件与 rename，重复写入无变化。
默认 validation error 为有界三行文本；显式 JSON/full 才保留结构化诊断。
外层 CLI 的 source-artifact --help 与 <action> --help 均返回专项帮助。
$unidesk-cicd 的 PaC reference 已记录 desired authority、五动作、exact-commit 门禁、大 spec transport 和 fail-closed 规则。

新增定向测试共十三项、七十二个断言，全部通过。
覆盖六类 admission default 正向与同名字段负向、本地/远端 canonicalizer 一致、同 commit retry/conflict、NotFound/transport 区分、未声明 JD01 owner、错误脱敏、共享 HWLAB overlay 等价性。
使用大于当前约 203 KiB HWLAB Pipeline 的 payload 实跑原生 observer 临时文件 transport，live 与 embedded 均完成完整 hash 比较。
HWLAB postprocess、verify 与六个 Kafka refresh marker 逐项删除均能触发 fail-closed。

额外运行历史 scripts/src/agentrun.test.ts 时出现五个既有失败，集中在旧测试 fixture 的 version 与已迁移路由断言；本分支未修改这些测试或 AgentRun client parser。