build(repo): support Connection M1 integration-branch delivery

## Problem

Connection M1 后续决定继续在已部署且实现最完整的分支演进，而不是把全部候选实现直接回灌 `main`。当前仓库工作流、#402 实施说明和自动化仍把默认分支作为唯一 PR 汇合点、Worker base、Auto-merge 目标和 post-merge 恢复目标；仅修改 PR base 会导致 Gate、Issue 完成语义和部署证据相互冲突。

## Scope

- 以已部署实现提交 `d5757c2` 为起点建立并保护长期 Connection 集成分支 `connection/m1`；不把历史 Issue 名称分支作为永久产品分支。
- 保持 `main` 中 PRD、工程 Spec、Connection HLD 和开发工作流 Spec 为权威来源；定义 `connection/m1` 在每个实施周期同步权威文档和审计偏差的规则。
- 将 Connection 实施流固定为 `connection/m1 -> review-sized feature branch -> PR -> connection/m1`，继续使用一个 primary Issue、稳定 AC、完整验证和人工 Review。
- 使 CI、PR Gate、Review、Auto-merge 和 post-merge 失败恢复显式支持受保护的 `connection/m1`，同时继续从 `main` 读取可信策略，不能让集成分支修改自身 Gate。
- 定义非默认分支 PR 合并后的 Issue 完成机制：不得依赖 `Closes #N` 自动关闭；由可信自动化或人工在验证合并 SHA、目标分支和 AC 后显式关闭并写入证据。
- 更新 #402 及其原生实施子票的交付目标说明和依赖投影，不改变既有 Scope、AC 或 Owner；已关闭 PR #426 只作为证据，不自动恢复、整批 cherry-pick 或视为交付。
- 定义 `connection/m1` 的镜像/tag/部署来源、固定 commit/digest 证据和回退方式；本票不实施 Connection 功能、LDAP、Provider 或数据库能力。

## Acceptance criteria

- [ ] **AC-1:** `connection/m1` 从 `d5757c2` 建立，具备明确 Owner、保护规则、允许的合并方式和禁止直接 push/force-push 的策略，且 `main` 仍是权威文档与可信工作流来源。
- [ ] **AC-2:** CI、PR Gate、Automated Review、Human Validation 和 Auto-merge 对以 `connection/m1` 为 base 的 PR 有确定、受测试的行为，不把任意非默认分支加入允许列表。
- [ ] **AC-3:** Connection 实施票合入 `connection/m1` 后可以通过可信、可审计且幂等的机制完成 Issue；错误 base、错误 SHA、未满足 AC 或失败检查不能关闭 Issue。
- [ ] **AC-4:** #402 和全部未完成 Connection 子票准确显示新的 merge target、分支来源和完成语义，DAG、Scope、AC、Owner 及后续 Provider 范围不因迁移被扩大。
- [ ] **AC-5:** 部署和发布文档能从固定 `connection/m1` commit 解析镜像 digest、环境和回退证据；#426 与其他历史分支仅按逐项审计结果复用。
- [ ] **AC-6:** 默认分支 PR 和现有 Worker 安全约束无回归；可信策略 checkout、Token 边界、Review Gate 身份和 post-merge `main` 恢复测试继续通过。

## Validation

- 运行针对允许 base、拒绝任意分支、可信策略来源、Auto-merge、Issue 完成和 post-merge 恢复的 focused workflow tests。
- 运行完整仓库验证序列，包含 workflow policy、actionlint、Markdown lint/link checks、`git diff --check`。
- 使用一个无副作用测试 PR 验证 `connection/m1` 的 CI/Gate/Review/Auto-merge 和显式 Issue 完成审计；不得部署真实 Connection 功能。

## Blocked by

None