W4-C3: adversary check 纳入 specs/** required checks（EXPECTED_SKIP 确定性派生）

[randypanding]

父意图: #263 | Spec: specs/ISSUE-263/spec.md v5 | 波次: W4 | 依赖: W4-C2

任务

specs/** 路径 PR 必须含 adversary check（漏配/摘除/跳过即红）；开发路径豁免谓词由 diff 路径集确定性派生（禁人工打标）；含 specs/** 实质变更却走豁免的 PR 必须红。

AC（Given-When-Then）

• AC-1 (api): Given 故意移除 adversary check 的 spec PR，When CI 运行，Then 阻断（红记录）。
• AC-2 (api): Given 伪装豁免 PR，When 豁免谓词评估，Then 阻断；开发路径对照 PR 正常合并（对照记录）。

blastRadius（预测）

.github: governance/rulesets/main-protection.json, governance/rulesets/org-required-workflows.json, .github/workflows/