fix(hfs): 将正式 wrapper 发布绑定 canonical private Space 与 main

[BlueSkyXN]

结果与原因

现有流程只对 candidate 检查 private，可由 production manifest 选择非 canonical Space，也未在正式上传前证明 wrapper checkout 仍是 current main。本 PR 收紧 wrapper provenance，但保留独立 upstream libreFS pin。

变更

• 固定 production Space 为 BlueSkyXN/libreFS-HFS，并要求 candidate 与 production 都已是 private。
• production upload 前 fresh fetch origin/main，要求 GITHUB_REF=refs/heads/main，且 wrapper HEAD == GITHUB_SHA == origin/main。
• LIBREFS_COMMIT 继续只作为独立 upstream source pin，不与 wrapper SHA 绑定。
• 扩充 contract validator，校验 pre-upload gate 顺序并显式拒绝错误的 LIBREFS_COMMIT == GITHUB_SHA 绑定；同步部署文档。

影响与边界

Production 只收紧 wrapper main provenance；candidate manifest 和 upstream LIBREFS_COMMIT 语义保持不变。此 PR 未触发 workflow、未写 Hugging Face、未部署、未 restart，也未修改 Space Variables 或持久数据。

验证

• bash -n scripts/validate-contract.sh scripts/smoke-s3-curl.sh
• scripts/validate-contract.sh
• actionlint .github/workflows/deploy-hf-space.yml
• git diff --check
• 负向回归：升级后的 validator 会拒绝 origin/main 上缺少 strict formal gates 的旧 workflow。

以上均在本 PR head 上通过；contract suite 中两个预期失败 fixture 仍按设计验证额外文件与 checksum tamper 会被拒绝。

Review focus

请重点核对 wrapper main 绑定与 LIBREFS_COMMIT upstream pin 的独立性，以及所有新增 gate 均位于首次 HF upload 前。