[P1][governance] 启用 master 分支保护，配合 CI 形成有效合并闸门

[libinyam]

严重度：P1

证据

gh api repos/libinyam/engineering-vibe-coding/branches/master/protection 返回 404；0 workflow、0 run。直推 master 无任何检查。solo Early MVP 阶段可理解，但推广前须补。

建议

• 启用 master 分支保护：require PR、require status checks；
• 配合 D-002 的 CI 落地后，将测试设为必需检查；
• 注意 issue#24 有效性核查：required status check 的 context 名必须与 Actions 实际 job 名一致，否则名义存在实际不拦。

验收标准

• master 启用分支保护，直推被禁止。
• PR 合并要求 CI 通过。

— 来自角色 G（Security & DevOps）发现 G-002

[libinyam]

已完成,验收标准两条均有实测证据:

直推被禁止——分支保护启用后(enforce_admins=true),owner 直推 master 被拒:

remote: error: GH006: Protected branch update failed for refs/heads/master.
remote: - Changes must be made through a pull request.
remote: - 4 of 4 required status checks are expected.

PR 合并要求 CI 通过——required status checks 为 CI 的 4 个实际 job context(与 job 名逐字一致,规避了本 issue 提到的 context 名不匹配陷阱):

• test (ubuntu-latest, node 18) / test (ubuntu-latest, node 22)
• test (windows-latest, node 18) / test (windows-latest, node 22)

配置:strict=true(合并前须与 master 同步)、required_pull_request_reviews=0 审批(要求走 PR 但不卡 solo 开发者)、allow_force_pushes=false、allow_deletions=false。

端到端验证:#18(actions v5 升级)被直推拒绝后改走 PR,4 检查全绿后合并——保护生效的完整证据链见该 PR。

依赖关系:CI 由 #3(PR #17)落地,本 issue 在其 master 首跑全绿后配置。