chore: harden ZLB2 bootstrap and repository hygiene

[high-cde]

Sintesi

Questa PR rafforza il percorso bare-metal x86_64 e l'igiene del repository. Il ramo è stato riallineato a main, risolvendo i conflitti con la pipeline Linux e mantenendo il lockfile di input già presente sul ramo principale.

Modifiche incluse

• introduce un profilo ZLB2 bootstrap fail-closed, limitato a EMIT e HALT;
• aggiunge test positivi e negativi per il contratto ZLB2;
• aggiunge il controllo di igiene del repository e ignora le dipendenze web rigenerabili;
• rimuove le dipendenze node_modules versionate dal diff;
• aggiorna il workflow bare-metal con controlli di igiene e contratto.

Verifiche eseguite

• git diff --check;
• sintassi Bash e YAML del workflow;
• python3 -m unittest discover -s os/x86_64/tools -p 'test_*.py' -v — 4 test superati;
• bash scripts/check-repository-hygiene.sh — ZDOS_HYGIENE_OK.

Limiti e note per la revisione

La build Linux usa il lockfile di sorgenti consolidato su main; il file duplicato introdotto in precedenza è stato rimosso. La PR non modifica installer, distribuzione di aggiornamenti, firma delle release o superfici web pubbliche.

Checklist

• Modifiche circoscritte e reversibili;
• Nessun segreto o artefatto generato introdotto;
• Documentazione e controlli coerenti con il perimetro della PR.