P0 fix(governance): enforce merge-gate and independent review for administrators

## 事故事实

2026-08-16 live audit 确认多次 final-head 非 READY 合入：

- PR #1420：final `e3a330bba0895a7b926603b1310434fac4a3e59d`，merge-gate FAILURE、无独立 APPROVE/verdict，由作者合入。
- PR #1428：恢复 #1420 的 F185 语义回归，但自身同样 merge-gate FAILURE、无独立 APPROVE/verdict，由作者合入。
- PR #1414：final `ff06731d2df634ab081693af586e7faa787b9213` 已修旧 control 红，但 merge-gate FAILURE、reviews/labels/comments 为空，仍由作者合入。

Live governance audit：main 无传统 branch protection（404）；唯一 ruleset enforcement=disabled。因此 merge-gate 日志虽明确红，管理员/作者仍可绕过。

## 必须完成

1. 在 GitHub 启用对 main 生效的 ruleset/branch protection，将 `merge-gate` 与仓库机械 required checks 设为 required。
2. 启用 Include administrators / 禁止管理员与作者绕过；如组织策略只能通过 bypass actor，必须缩到独立 break-glass 身份并记录审计事件，不得允许 PR author。
3. 保持 current-head independent APPROVE + canonical `review:*` verdict 的双证据要求。
4. 为本 issue 建立合法 owner、coord task、issue work lease 与硬 deadline；变更走独立 PR + 非作者 exact-SHA review。

## 验收反证

- 创建测试 PR，使 merge-gate 明确 FAILURE；以 admin/author 尝试网页/API merge，GitHub 必须拒绝。
- 推新 SHA 后旧 APPROVE/verdict 必须失效；缺 current-head 独立 APPROVE 时 merge 必须被拒绝。
- gate 全绿后，在 attended 模式由非作者完成一次受保护合并，保留规则配置与拒绝日志证据。

无人值守不得直接修改规则或合并；本 issue 仅登记事故与后续治理动作。

Start with the repository's GitHub ruleset or branch-protection configuration for main and the merge-gate required-check setup; the issue names no source files or tests. Reproduce the acceptance cases with a failing test PR, an updated SHA, and a protected green merge, recording rejection and rule evidence. Done means administrator and author bypass is rejected and only the required independent current-head approval and verdict permit merging.

Written by the indexing model from the issue text.