feat(core,cli): harden install engine and extend skill lint and interview eval

- update only touches the recorded project root; project installs do not
  follow symlinks or junctions; repeated --force rotates .orig backups;
  uninstall never deletes outside the recorded root
- run npm/npx without a shell on Windows and pin optional tool versions
- skip the update check in CI and non-interactive output
- lint: cross-document section pointers, preflight row ids, gate rule
  numbers, per-document size budgets, gate copy equality
- eval: scenarios S19-S21, route and read-cost rejudging, interpretation
  card judging, temp-dir previews and table-form cards no longer fail

build/ci/upload-release-asset.sh

@@ -9,7 +9,13 @@ set -euo pipefail
 [ -n "${RELEASE_TOKEN:-}" ] || { echo "RELEASE_TOKEN 환경변수가 없습니다" >&2; exit 2; }
 tag="$1"; shift
 api="${GITHUB_SERVER_URL%/}/api/v1/repos/${RELEASE_REPO:-$GITHUB_REPOSITORY}"
-auth="Authorization: token ${RELEASE_TOKEN}"
+# 토큰을 curl 인자(-H "...")로 넘기면 같은 호스트의 다른 프로세스에 ps 로 보인다.
+# 0600 임시 파일에 헤더를 적고 -H @file 로 넘긴다(curl 7.55+). 끝나면 지운다.
+hdr="$(mktemp)"
+chmod 600 "$hdr"
+trap 'rm -f "$hdr"' EXIT
+printf 'Authorization: token %s\n' "$RELEASE_TOKEN" > "$hdr"
+auth="@$hdr"
 
 # draft 릴리스는 tags/<tag> 단건 조회에 안 잡힐 수 있어 목록에서 tag_name 으로 찾는다
 # tr -d '\r': Windows Git Bash 에서 python 출력이 CRLF 로 나와 id 가 오염되는 것 방지