CI 门禁

Skill 依靠 Agent 遵循；要阻止不合规 PR 合并，需维护者另行配置 CI 和分支保护。PR checkout 已经是提交状态，默认工作区 check 会看到空 diff，所以 CI 必须检查 PR 的明确差异范围：

# BASE_SHA/HEAD_SHA 必须由可信 CI 提供；checkout/fetch 应包含相关历史。
git submodule update --init -- tools/FTC-Knowledge-Bank
git diff --no-ext-diff --binary "$BASE_SHA" "$HEAD_SHA" -- > /tmp/ftckb-pr.patch
python3 tools/FTC-Knowledge-Bank/.agents/skills/ftckb-integrate/scripts/project.py \
  check --project . --diff /tmp/ftckb-pr.patch

维护者应保护 .ftckb/project.yaml、.gitmodules、Skill 和知识库版本升级的审阅权限；否则 PR 自改门禁同样可绕过。此示例不部署机器人，不把 CI/编译通过描述为真机通过。