Evidence bundle schema sources.*.baseUrl pattern is looser than the runtime validator

Found in the 0.28.0 pre-release review (2026-09-08). Line references are as of main after #926.

`products/evidence/contracts/bundle.schema.yaml:907-916` accepts `sources.*.baseUrl` values that `validate_source_origin` in `crates/registry-evidence/src/config.rs:4761-4767` refuses, while `sourceConnections.baseUrl` (schema lines 815-828) already carries the canonical origin pattern. Editor validation therefore passes a bundle the runtime rejects. Tighten the schema pattern to the runtime rule and add a fixture that fails both.

Confronta products/evidence/contracts/bundle.schema.yaml:907-916 con il pattern canonico alle righe 815-828 dello schema e con validate_source_origin in crates/registry-evidence/src/config.rs:4761-4767. Aggiungi un fixture che copra la baseUrl rifiutata ed esegui i controlli pertinenti di validazione dello schema e di runtime; il lavoro è completato quando entrambi i validatori rifiutano lo stesso valore non valido.

Scritto dal modello di indicizzazione a partire dal testo della issue.