feat(core,cli): harden install engine and extend skill lint and interview eval

- update only touches the recorded project root; project installs do not
  follow symlinks or junctions; repeated --force rotates .orig backups;
  uninstall never deletes outside the recorded root
- run npm/npx without a shell on Windows and pin optional tool versions
- skip the update check in CI and non-interactive output
- lint: cross-document section pointers, preflight row ids, gate rule
  numbers, per-document size budgets, gate copy equality
- eval: scenarios S19-S21, route and read-cost rejudging, interpretation
  card judging, temp-dir previews and table-form cards no longer fail

.forgejo/workflows/release.yml

@@ -19,16 +19,24 @@ jobs:
       - name: checkout
         env: { CI_TOKEN: "${{ github.token }}" }
         run: |
-          proto="${GITHUB_SERVER_URL%%://*}"; host="${GITHUB_SERVER_URL#*://}"
-          url="$proto://actions:${CI_TOKEN}@${host%/}/${GITHUB_REPOSITORY}.git"
+          # 토큰을 remote URL 에 넣지 않는다 — URL 은 .git/config 에 남고(host 모드라 다음 잡까지
+          # 워크스페이스가 남는다) fetch 명령행에도 보인다. 인증 헤더는 이 fetch 한 번에만 환경변수로 준다
+          # (GIT_CONFIG_COUNT, git 2.31+). 예전 실행이 남긴 토큰 URL remote 는 지우고 새로 만든다.
           [ -d .git ] || git init -q .
           git remote remove origin 2>/dev/null || true
-          git remote add origin "$url"
-          git fetch -q --depth 1 origin "$GITHUB_REF"
+          git remote add origin "${GITHUB_SERVER_URL%/}/${GITHUB_REPOSITORY}.git"
+          auth="$(printf 'actions:%s' "$CI_TOKEN" | base64 | tr -d '\n')"
+          GIT_CONFIG_COUNT=1 GIT_CONFIG_KEY_0=http.extraheader \
+            GIT_CONFIG_VALUE_0="Authorization: Basic $auth" \
+            git fetch -q --depth 1 origin "$GITHUB_REF"
+          unset auth
           git checkout -q -f FETCH_HEAD
           git clean -qfdx
 
+      # 같은 러너를 PR CI 와 공유한다(host 모드). PR 잡이 러너 홈의 node 를 바꿔치기했는지
+      # 확인할 수 있도록, 저장소 변수 NODE_SHA256 이 있으면 쓰는 node 바이너리 해시가 같아야 진행한다.
       - name: 환경 확인
+        env: { EXPECTED_NODE_SHA256: "${{ vars.NODE_SHA256 }}" }
         run: bash build/ci/verify-node.sh
 
       - name: 릴리스 정보 확정
@@ -94,17 +102,26 @@ jobs:
         env: { RELEASE_TOKEN: "${{ secrets.RELEASE_TOKEN }}" }
         run: bash build/ci/upload-release-asset.sh "$RELTAG" "$TARBALL"
 
+      # 사이트 빌드는 토큰 없이 한다 — 빌드 의존성 전체가 CF 토큰에 접근하지 않게 단계를 나눈다.
+      - name: 소개 페이지 빌드
+        run: pnpm build:site
+
+      # production(main)에는 태그 릴리스만 나간다. workflow_dispatch 리허설은 임의 브랜치를 고를 수
+      # 있으므로 preview 브랜치(rehearsal)로만 보낸다. wrangler 는 버전을 고정한다(@latest 는 탈취 시
+      # CF 토큰 유출 경로). 올릴 때는 이 값을 직접 바꾼다.
       - name: 소개 페이지 배포 (Cloudflare Pages)
         env:
           CLOUDFLARE_API_TOKEN: "${{ secrets.CF_API_TOKEN }}"
           CLOUDFLARE_ACCOUNT_ID: "${{ secrets.CF_ACCOUNT_ID }}"
+          WRANGLER_VERSION: "4.146.0"
         run: |
           if [ -z "${CLOUDFLARE_API_TOKEN:-}" ]; then
             echo "CF_API_TOKEN 이 없다 — 페이지 배포를 건너뛴다"
             exit 0
           fi
-          pnpm build:site
-          npx --yes wrangler@latest pages deploy apps/site/dist \
+          if [ "${DO_PUBLISH:-0}" = "1" ]; then cf_branch=main; else cf_branch=rehearsal; fi
+          echo "Cloudflare Pages 브랜치: $cf_branch"
+          npx --yes "wrangler@${WRANGLER_VERSION}" pages deploy apps/site/dist \
             --project-name designpaca \
-            --branch main \
+            --branch "$cf_branch" \
             --commit-dirty=true