WorkBuddy
d707fb1f60
ci(ui): 把 14 个 UI 契约门禁接入 CI，并新增统一执行器
Phase 23 收尾计划 批 1 Task 1.1 —— 此前 ui-tests/*.mjs 只在本地手工逐个执行，没有任何 CI
把关：改动破坏了源码结构契约也不会有任何信号。
- 新增 scripts/run-ui-contracts.mjs：逐个 spawn 子进程运行守卫 → 汇总 → 任一失败即非零退出，
并打印失败守卫的原始输出便于定位。零 npm 依赖（守卫只用 node 内建模块）。
- 两条防退化设计：
① 子进程 cwd 固定为仓库根 —— 守卫里 6 个用相对路径、8 个用 import.meta.dirname 自锚定，
不固定 cwd 会在 CI 上假红；
② 守卫数量下限校验（MIN_GUARDS=14，可用 UI_GUARDS_MIN 覆盖）—— 防止守卫被删除或改名后
依然报绿（Phase 19 教训：扫描清单本身会漏）。
- ci.yml 新增 ui-contracts job（checkout + setup-node + 跑执行器），与既有 test-shell-guard
同属「守门」类 job。
- 生产 compose 缺失的既有兜底确认可复用：ui-document-baseline-contracts.mjs 对不在版本控制内的
infrastructure/docker-compose.prod.yml 已做 existsSync 判定并显式打印跳过原因，CI 上不会假红。
验证：
- 基线 node scripts/run-ui-contracts.mjs → PASS 14/14，退出码 0；
- 负向注入（.workbuddy/tmp 下必然失败的守卫）→ FAIL、退出码 1，失败详情可见；
- 数量下限分支以 UI_GUARDS_MIN=99 自检 → 正确拒绝报绿（退出码 1）；
- .github/workflows/ci.yml 经 yaml.safe_load 解析通过，jobs 含 ui-contracts。