docs(workflow): close supplemental qualification gaps

[wlvh]

背景

三个 supplemental probe 暴露了 workflow-docs-sync 的执行纪律缺口：

• 新增 marker、alias 或其他控制机制前，缺少以独立状态、真实消费者和可复现失败路径为依据的必要性门。
• installed Skill 创建临时 upstream clone 后，缺少由当前 Agent 在最终回复前完成并验证 cleanup 的 final gate。
• 文档语义编辑前，缺少 finding ID/severity 的明确登记协议；多解释器测试与 independent review 的证据边界也不够明确。

本 PR 只收紧维护与 Skill 执行合同，不改变 production 实现。

实际范围

恰好修改四个文件：

• AGENTS.md
• zh/README.md
• en/README.md
• zh/skills/workflow-docs-sync/SKILL.md

为什么不修改其他层

• 不修改 production：缺口位于仓库维护纪律与 Skill 合同，不在 sync_docs.py 或安装器行为。
• 不修改 tests：现有 repository distribution contract 已覆盖本次四文件的发布范围，本 PR 没有新增 production 分支。
• 不新增 DEC：本次是既有执行合同的窄范围收口，不引入新的架构决策。
• 不修改下游双语九模板：这些规则属于 coding-workflow 仓库维护入口和 canonical Skill，不应下沉为通用项目模板内容。

Patch-level 验证

以下验证均已在冻结 candidate 上通过，本次发布未重跑：

• scenario 5：PASS
• Skill quick validation：PASS
• git diff --check：PASS
• residue before/after：PASS；普通与 ignored status 前后无新增

Supplemental qualification

外部 reviewer 已完成原始证据 bundle 验收，结论为 PASS：

• G-N：PASS_REFUSE
• installed cleanup：PASS
• A-JF：PASS

冻结身份与证据

• candidate commit：68612b4855ed1df9f1c3a48e803d1722d2dc9d9d
• candidate tree：4ee3659b988ece0a0eedc806d6cb288a3420cc48
• approved patch SHA-256：021efaf6c7618da77c8fd5392c79166bdcfb7998a42530ca93ad167a01911537
• evidence bundle SHA-256：dd5c73de36065b8d47e6790988793adeffc919bdae8db77f97bf47f9aa9c0e0f

Known limit

Supplemental suite 尚未登记为正式长期 merge contract；本 PR 证明冻结 candidate 对这三项 probe 的行为，但不把该 suite 声明为持续集成中的永久门禁。

Rollback

如需回退，revert 当前单 commit 68612b4855ed1df9f1c3a48e803d1722d2dc9d9d。