fix(doku-lint): exakten PR-Head und Policy-Typ organisationsweit absichern - #21

Ziel

Der zentrale Doku-Lint darf weder GitHubs synthetischen Merge-Commit prüfen noch einen gültigen Richtlinien-Commit wegen einer versteckten Typenliste ablehnen.

Ursachen

1. actions/checkout lief ohne festes ref; bei Pull Requests konnte dadurch der synthetische Merge-Commit statt des eingereichten Head-Commits geprüft werden.
2. Gate 3 hing bisher am gemeinsamen warn_only-Schalter.
3. Die erlaubten Commit-Typen waren nur in einer Regex sichtbar; policy: fehlte.
4. Ein eigener Rückfalltest für diese Vertragsbestandteile existierte nicht.

Umsetzung

• SOURCE_COMMIT bindet Pull Requests an github.event.pull_request.head.sha und Pushes an github.sha.
• Checkout, Diff und Commit-Titel nutzen dieselbe explizite Quell-SHA.
• commit_format_warn_only steuert Gate 3 getrennt und steht standardmäßig auf false.
• allowed_commit_types macht die Typenliste sichtbar und erweiterbar.
• policy gehört zum organisationsweiten Standard; docs(policy): bleibt ebenfalls gültig.
• Fehlermeldungen nennen Quell-SHA, Titel, gefundenen Typ, erlaubte Typen und Beispiele.
• scripts/test_doku_lint_contract.py plus doku-lint-contract.yml verhindern Rückfälle.
• README und CHANGELOG erklären denselben Vertrag.

Lokale Prüfung

Der Vertragstest lief vor dem Push mit PASS. GitHub Actions muss den exakten Branch-Stand zusätzlich bestätigen.

Rollout-Grenze

Caller mit @main erhalten den neuen zentralen Stand nach dem Merge. Auf alte SHAs gepinnte Caller brauchen einen eigenen Versions-PR. Das Repository Klangschalen/zentrale nutzt derzeit noch einen lokalen Doku-Lint und wird separat angeglichen.

Betriebsgrenze

Keine Produktions-, Shop-, Datenbank- oder Supabase-Änderung. Nur GitHub-Workflow, Tests und Dokumentation.