升级 libreFS HFS v2.1 Preview 与 Protected/Private 发布契约

[BlueSkyXN]

结果

将 libreFS canonical HFS 明确归类为 Preview，在 current-main strict formal wrapper 基线上补齐 Space=Protected、Bucket=Private contract，并同步维护文档与 storage sampler 的 HFS tooling 版本。

本 PR 只更新 GitHub contract、workflow、文档和校验；不包含真实凭据，也没有修改或部署 Hugging Face Space。

主要变更

• canonical/candidate manifest 均声明 space_visibility = "protected"、bucket_visibility = "private"，保留 primary/candidate 角色与独立 env ledger。
• deploy workflow 的 HFS module CLI 固定为 huggingface_hub==1.25.1 + click==8.4.2，并验证 repos settings --protected。
• read-only storage sampler 同步固定相同版本；validator 与 source walkthrough 冻结新 pin。
• README、configuration、deployment、operations、contract-alignment 与 repo/docs 指令保持 canonical Preview 术语。
• source lane、commit pin、formal wrapper allowlist/readback 与 optional admin Secret 规则保持不变。
• 分支已合入 current main 4845bf93545a75a81de1826731c89d30345d4130。

中央依赖

• 依赖 BlueSkyXN/SKY-Prompt#12；该 PR 仍为 OPEN、未合并。本 PR 只把 exact head c9a6eeeb115fd76581cdc584ab5cc741eb552637 当作 draft dependency 候选，不声称标准已经进入 main。
• 该 exact head 已在 fresh Python 3.11 环境使用 huggingface_hub==1.25.1、click==8.4.2、PyYAML==6.0.2 跑完 84 tests，并验证 module CLI 提供 repos settings --protected。
• 中央 exact-head Actions run 30561541131 / job 90935541156 为 failure，但 steps=[]，annotation 明确为 account payment/spending-limit 的 GitHub Actions Billing 阻断；没有测试 step 实际执行，因此不能写成中央 CI 通过，也不能写成代码测试失败。

兼容性与边界

• 旧 manifest 缺少 visibility 时会被 contract gate fail closed；storage sampler 本地环境也必须安装新固定版本。
• workflow 仍要求预先存在的固定 target、exact-main/provenance 和完整 wrapper readback；本 PR 没有执行它。
• PR 尚未合并；未执行 HF Settings、upload、S3 写入、restart、runtime takeover 或持久化验收。

验证

• shell syntax、目标 Python py_compile 与 scripts/validate-contract.sh：通过。
• bundle verifier 正/负 fixture、selected contract checks 与本机 Nginx syntax：通过；Docker source build 按仓库既有 gate 明确跳过。
• actionlint、TOML visibility 解析、git diff --check：通过。
• added-line secret-like scan：未发现真实 token、private key 或凭据值。
• GitHub Actions exact head 59dd331af26552f101fe65d1cb653e9e313b9079：run 30564521691 / verify SUCCESS。

Review focus

请重点复核 visibility/tooling 收紧没有改变 S3 path-style、ops/admin、安全、persistence 或 fixed wrapper 发布边界。