W4-C2: dispatch 白名单 + conductor 侧重断言 + check run 写回

[randypanding]

父意图: #263 | Spec: specs/ISSUE-263/spec.md v5 | 波次: W4 | 依赖: W4-C1

任务

repository_dispatch 载荷不被信任——T5/T6 全部前置由 conductor 侧重新断言；红队结果以 check run 写回 spec PR（App 令牌 checks:write，INV-02）。

AC（Given-When-Then）

• AC-1 (api): Given 载荷伪造 survived 的 dispatch，When conductor 处理，Then 重新断言后拒绝。
• AC-2 (api): Given 红队 verdict 产出，When 写回运行，Then check run 出现在 spec PR（App 身份）。

blastRadius（预测）

.github: .github/workflows/conductor.yml；CI-Workflows: .github/workflows/adversary*.yml