W4-C3: holdout 揭封 gate（hash 校验 + 计数化 + 详情回写 + 日志审计）

[randypanding]

父意图: #161 | 宪法: §4B holdout 揭封 | 波次: W4 | 依赖: W2 | 预算: BUDGET-01
C1 须附 ADR。揭封凭据仅 verdict workflow 可用；日志计数化防泄漏。

任务

holdout 揭封 gate：校验 sealed_sha256 → 执行 → PR check 只显示通过计数 →
详情写 holdout 仓 issue → append 揭封记录；holdout 与主套件通过率差超 5%（§14）升级。

AC（Given-When-Then）

• AC-1 (e2e): Given verdict 阶段运行，When 揭封执行，Then PR check 只显示计数（无明细），详情写 holdout 仓且过条目 schema。
• AC-2 (api): Given 实现阶段全部 workflow 日志，When 泄漏审计，Then 无 holdout 内容；泄漏诱饵内容出现即报警。
• AC-3 (api): Given 揭封记录，When 检查，Then append-only 且每条含 sealed_sha256 校验结果。
• AC-4 (api): Given 通过率差超阈值，When 判定，Then 升级 needs-human 且该 PR verdict 不过。

blastRadius（预测）

CI-Workflows: .github/workflows/**; holdout: entries/**, scripts/**

[randypanding]

/claim