build(connection): assemble GitHub Pilot runtime and HCI readiness

## Problem

Connection GitHub Pilot 只有在正式 runtime 使用同一生产装配、最小 ProviderRelease、数据库 migration、Secret 和受控 HCI 配置时才可进入跨系统真实验收。

## Scope

- 从最新 `main` 固定 commit 构建 Connection API/Web 镜像，生产入口只装配 account-backed PostgreSQL、LDAP、Browser/Catalog/delegated API、三项 GitHub Action、可靠 Effect 和单 Token revoke。
- ProviderRelease/Action 默认 disabled，只在具名 LA3 HCI Pilot 环境和测试主体范围内启用；不装配 Direct MCP、PAT、Bitbucket、Jira、Confluence 或全 GitHub Catalog。
- 提供 forward migration/bootstrap、Secret Manager 注入、同源 Connection Web/API 路由、受控 egress、健康检查、回滚和版本/digest 证据。
- 使用全新或已确认清理的 Pilot 数据库；不得通过 fixture、环境降级、默认管理员或本地 SQLite 绕过门禁。
- 产出 Connection-side readiness evidence，供上级跨地图汇合票执行 Alice/Bob 真实 GitHub Pilot；本票不自行宣称跨系统 Pilot 通过。

## Acceptance criteria

- [ ] **AC-1:** 镜像从 `main` 固定 commit 构建并记录 digest，生产入口与验证入口复用同一 runtime factory，缺失必需配置时启动 fail closed。
- [ ] **AC-2:** 部署只发布三项 GitHub Action 和唯一 repository allowlist，其他 Provider/Action/Direct MCP/PAT 路由不可发现或执行。
- [ ] **AC-3:** fresh/clean PostgreSQL migration、bootstrap、Secret 注入、LDAP、同源路由和受控 egress 在具名 HCI 环境验证且证据脱敏。
- [ ] **AC-4:** Provider/Action disable、delegated route shutdown 和健康检查回滚均保留数据库/审计；回滚入口不声称 GitHub 能力可用。
- [ ] **AC-5:** Connection readiness 覆盖连接、Grant、Catalog、delegated verifier、create-PR dry readiness、撤权、pending/manual/unresolved 和 Token revoke，明确列出仍需 Platform/真实账号联合验收的边界。

## Validation

- 运行完整仓库验证、fresh PostgreSQL integration、docker build、image/SBOM/provenance checks 和 Helm render/policy checks。
- 在具名 LA3 HCI 环境执行脱敏 Connection-side smoke、故障注入和回滚验证；不把结果外推为完整 Pilot。

## Blocked by

- #394
- #392
- #390
- #397
- #396
- #391