fix/ci-checkout-credential-scope
main
复核轮遗留安全测试的适配版：传输基址=运行器注入 GITHUB_SERVER_URL（实测内网 http 形态），凭据只发往该基址+仓库白名单路径；非 http(s) 注入 fail-closed 拒绝。8/8 治理测试绿。原草稿的「metadata 不得选端点」属性属常量传输设计，本仓未采纳，已在测试注释记录语义来源。
Why: 复核轮遗留的安全测试草稿按「常量=传输端点」设计，与 PR #213 已合入的 「注入基址=传输端点」语义相反，原样提交会红。适配为锁定真实不变量。 Evidence: python3 -m unittest tests.test_ci_credentials 8/8 OK（含新用例： 任一注入拼写检出成功、凭据仅落白名单路径且令牌分离、非 http(s) 注入 fail-closed）。 Impact: 仅测试文件；不改 ci.yaml 行为。 Refs: PR #213 run 950 诊断（GITHUB_SERVER_URL=http://172.17.0.1:3000）。
No dependencies set.
The note is not visible to the blocked user.
复核轮遗留安全测试的适配版：传输基址=运行器注入 GITHUB_SERVER_URL（实测内网 http 形态），凭据只发往该基址+仓库白名单路径；非 http(s) 注入 fail-closed 拒绝。8/8 治理测试绿。原草稿的「metadata 不得选端点」属性属常量传输设计，本仓未采纳，已在测试注释记录语义来源。