ci(ui): 把 14 个 UI 契约门禁接入 CI，并新增统一执行器

Phase 23 收尾计划 批 1 Task 1.1 —— 此前 ui-tests/*.mjs 只在本地手工逐个执行，没有任何 CI
把关：改动破坏了源码结构契约也不会有任何信号。

- 新增 scripts/run-ui-contracts.mjs：逐个 spawn 子进程运行守卫 → 汇总 → 任一失败即非零退出，
  并打印失败守卫的原始输出便于定位。零 npm 依赖（守卫只用 node 内建模块）。
- 两条防退化设计：
  ① 子进程 cwd 固定为仓库根 —— 守卫里 6 个用相对路径、8 个用 import.meta.dirname 自锚定，
     不固定 cwd 会在 CI 上假红；
  ② 守卫数量下限校验（MIN_GUARDS=14，可用 UI_GUARDS_MIN 覆盖）—— 防止守卫被删除或改名后
     依然报绿（Phase 19 教训：扫描清单本身会漏）。
- ci.yml 新增 ui-contracts job（checkout + setup-node + 跑执行器），与既有 test-shell-guard
  同属「守门」类 job。
- 生产 compose 缺失的既有兜底确认可复用：ui-document-baseline-contracts.mjs 对不在版本控制内的
  infrastructure/docker-compose.prod.yml 已做 existsSync 判定并显式打印跳过原因，CI 上不会假红。

验证：
- 基线 node scripts/run-ui-contracts.mjs → PASS 14/14，退出码 0；
- 负向注入（.workbuddy/tmp 下必然失败的守卫）→ FAIL、退出码 1，失败详情可见；
- 数量下限分支以 UI_GUARDS_MIN=99 自检 → 正确拒绝报绿（退出码 1）；
- .github/workflows/ci.yml 经 yaml.safe_load 解析通过，jobs 含 ui-contracts。

.github/workflows/ci.yml

@@ -143,6 +143,24 @@ jobs:
       - name: 禁止 skip/pass 空壳测试
         run: python3 scripts/check-no-empty-tests.py tests
 
+  ui-contracts:
+    name: UI Contracts (source-structure gates)
+    runs-on: ubuntu-latest
+    # Phase 23 遗留（收尾计划 批 1 Task 1.1）：14 个 UI 契约门禁此前**只在本地手工执行**，
+    # 没有 CI 把关 —— 即「改动破坏了源码结构契约也不会被发现」。
+    # 守卫是纯 node 内建模块、零 npm 依赖，故无需装依赖；统一执行器负责逐个跑 + 汇总 + 非零退出，
+    # 并校验守卫数量下限（防止守卫被删除/改名后仍然报绿）。
+    steps:
+      - uses: actions/checkout@v4
+
+      - name: Set up Node.js
+        uses: actions/setup-node@v4
+        with:
+          node-version: '20'
+
+      - name: 运行 UI 契约门禁
+        run: node scripts/run-ui-contracts.mjs
+
   e2e:
     name: E2E (live stack)
     runs-on: ubuntu-latest