refactor(layering): 首批下移工具适配层，并加装分层门禁与首个 CI (#1)

四 crate 的设计意图是 core（契约）← runtime（执行）← adapters（工具适配）
← cli（组装），但实际倒挂：adapters 已持有 ESLint/Checkstyle/Cargo/Go 的诊断
类型，其身份映射逻辑却住在二进制 crate，使 cli 顶层模块达 145 个、远超 core。

本 PR 不做一次性大搬迁（diff 无法审阅），而是先搬最干净的一族并装上门禁：

- 4 个 *_finding_identity（eslint/cargo_build/go/rustdoc，共 332 行）从
  codeguard-cli 迁至 codeguard-adapters。四个模块本就直接依赖 adapters 的诊断
  类型，跨 crate 后改为 crate 根 re-export；eslint 的 validate_records 由
  pub(crate) 提升为 pub。cli 顶层模块 145 → 141，adapters 61 → 65。
- scripts/check_layering.py + layer-baseline.json：把倒挂变成显式债务。
  cli 中剩余的 13 个领域形态模块（9 个 *_probe、2 个 *_module_graph、
  npm_input_state、tool_identity）逐条登记归属与理由，额度只减不增——
  新增未登记的领域模块会失败，模块下移后基线未同步收紧也会失败。
  两个方向都做了负向验证。
- .github/workflows/ci.yml：本仓此前没有任何 CI，995 个测试无自动门禁。
  门禁跑 layering check + build + test。

关于固定语料的一个坑：corpus_integrity 会按 sha256 校验来自
codeguard-plugin@9e4adb1 的真实文件，只建空目录不够（实测摘要不匹配），
CI 必须把该 commit 检出到兄弟目录。

验证：995 通过 / 0 失败（重构前后一致，无测试增减）。

Author: loong10k

.github/workflows/ci.yml

@@ -0,0 +1,37 @@
+name: codeguard
+
+on:
+  push:
+    branches: [main]
+  pull_request:
+
+permissions:
+  contents: read
+
+jobs:
+  gate:
+    # ubuntu-latest 预装稳定版 Rust；Cargo.toml 声明 rust-version = 1.85 / edition = 2024。
+    runs-on: ubuntu-latest
+    steps:
+      - uses: actions/checkout@3d3c42e5aac5ba805825da76410c181273ba90b1 # v7.0.1
+
+      - name: Check out corpus evidence source
+        # 固定语料按 sha256 校验来自插件仓的真实文件（provenance.source_ref =
+        # codeguard-plugin@9e4adb1），因此必须把该 commit 检出到兄弟目录；
+        # 只建空目录不够，会因摘要不匹配而失败。
+        run: |
+          git clone --quiet https://github.com/full-stack-plugins/codeguard-plugin.git ../codeguard-plugin
+          git -C ../codeguard-plugin checkout --quiet 9e4adb1
+
+      - name: Verify crate layering debt does not grow
+        run: python3 scripts/check_layering.py
+
+      - name: Build workspace
+        run: cargo build --workspace --all-targets
+
+      - name: Run test suite
+        run: cargo test --workspace --all-targets
+
+      - name: Explain remaining layering debt
+        if: always()
+        run: python3 scripts/check_layering.py --explain

…-cli/src/cargo_build_finding_identity.rs …ters/src/cargo_build_finding_identity.rscrates/codeguard-cli/src/cargo_build_finding_identity.rs renamed to crates/codeguard-adapters/src/cargo_build_finding_identity.rs crates/codeguard-cli/src/cargo_build_finding_identity.rs renamed to crates/codeguard-adapters/src/cargo_build_finding_identity.rs

@@ -1,6 +1,6 @@
 //! 编译发现身份绑定原生源码范围；不靠诊断顺序给其它问题续用身份。
 
-use codeguard_adapters::CargoBuildDiagnostic;
+use crate::CargoBuildDiagnostic;
 use serde_json::{Value, json};
 use sha2::{Digest, Sha256};
 

…guard-cli/src/eslint_finding_identity.rs …-adapters/src/eslint_finding_identity.rscrates/codeguard-cli/src/eslint_finding_identity.rs renamed to crates/codeguard-adapters/src/eslint_finding_identity.rs crates/codeguard-cli/src/eslint_finding_identity.rs renamed to crates/codeguard-adapters/src/eslint_finding_identity.rs

@@ -1,5 +1,5 @@
 //! 原生 ESLint 发现到脱敏任务输入的稳定投影；不赋予策略或报告来源权威。
-use codeguard_adapters::EslintDiagnostic;
+use crate::EslintDiagnostic;
 use serde_json::{Value, json};
 use sha2::{Digest, Sha256};
 use std::{collections::BTreeMap, path::Path};
@@ -103,7 +103,7 @@ pub fn project_eslint_findings(
 }
 
 /// 复核脱敏任务输入的稳定投影；消息摘要只验证形状，不自证原生来源。
-pub(crate) fn validate_records(
+pub fn validate_records(
     relative: &str,
     absolute: &str,
     source: &[u8],

…codeguard-cli/src/go_finding_identity.rs …uard-adapters/src/go_finding_identity.rscrates/codeguard-cli/src/go_finding_identity.rs renamed to crates/codeguard-adapters/src/go_finding_identity.rs crates/codeguard-cli/src/go_finding_identity.rs renamed to crates/codeguard-adapters/src/go_finding_identity.rs

@@ -1,6 +1,6 @@
 //! Go 原生诊断的局部稳定身份；行号用于定位，源码字节摘要用于本轮归属复核。
 
-use codeguard_adapters::GoVetFinding;
+use crate::GoVetFinding;
 use serde_json::{Value, json};
 use sha2::{Digest, Sha256};
 

crates/codeguard-adapters/src/lib.rs

@@ -355,3 +355,11 @@ mod tests {
         assert!(parse_legacy_registry(r#"{"languages":[]}"#).is_err());
     }
 }
+mod cargo_build_finding_identity;
+pub use cargo_build_finding_identity::cargo_build_finding_record;
+mod eslint_finding_identity;
+pub use eslint_finding_identity::{project_eslint_findings, validate_records};
+mod go_finding_identity;
+pub use go_finding_identity::go_finding_record;
+mod rustdoc_finding_identity;
+pub use rustdoc_finding_identity::rustdoc_finding_record;

…uard-cli/src/rustdoc_finding_identity.rs …adapters/src/rustdoc_finding_identity.rscrates/codeguard-cli/src/rustdoc_finding_identity.rs renamed to crates/codeguard-adapters/src/rustdoc_finding_identity.rs crates/codeguard-cli/src/rustdoc_finding_identity.rs renamed to crates/codeguard-adapters/src/rustdoc_finding_identity.rs

@@ -1,6 +1,6 @@
 //! 文档发现身份绑定原生源码范围；不靠诊断顺序给其它问题续用身份。
 
-use codeguard_adapters::RustdocFinding;
+use crate::RustdocFinding;
 use serde_json::{Value, json};
 use sha2::{Digest, Sha256};
 

crates/codeguard-cli/src/eslint_workbench.rs

@@ -1,6 +1,6 @@
 //! ESLint 局部原生观察到既有修复队列的连接；没有审批或关闭权威。
+use codeguard_adapters::project_eslint_findings;
 use crate::{
-    eslint_finding_identity::project_eslint_findings,
     eslint_lint_arguments::EslintLintArguments,
     eslint_probe_request::EslintProbeRequest,
     eslint_probe_result::EslintProbeResult,

crates/codeguard-cli/src/go_lint_command.rs

@@ -2,7 +2,7 @@
 
 use crate::check_budget::parse_check_timeout;
 use crate::discovery::discover;
-use crate::go_finding_identity::go_finding_record;
+use codeguard_adapters::go_finding_record;
 use crate::work_sync::{save_local_report, sync_local_workspace};
 use crate::workspace_refresh::read_workspace_baseline;
 use codeguard_adapters::{GoVetParseState, legacy_registry, parse_go_vet_json};

crates/codeguard-cli/src/lib.rs

@@ -14,7 +14,6 @@ mod eslint_directory;
 mod eslint_discovery;
 #[cfg(unix)]
 mod eslint_effective_settings;
-pub mod eslint_finding_identity;
 #[cfg(unix)]
 mod eslint_lint_arguments;
 #[cfg(unix)]
@@ -71,7 +70,6 @@ pub use signed_approval_verifier::verify_signed_approval;
 pub use signed_prior_approval_input::SignedPriorApprovalInput;
 pub use verified_approval_snapshot::VerifiedApprovalSnapshot;
 pub mod cargo_audit_command;
-pub mod cargo_build_finding_identity;
 pub mod cargo_build_repair_brief;
 #[cfg(unix)]
 pub mod check_budget;
@@ -95,7 +93,6 @@ pub mod false_positive_decision;
 pub mod git_index_safety;
 #[cfg(unix)]
 pub mod git_index_safety_command;
-pub mod go_finding_identity;
 #[cfg(unix)]
 pub mod go_lint_command;
 pub mod init_command;
@@ -154,7 +151,6 @@ pub mod rust_comments_command;
 pub(crate) mod rust_cve_task_recheck;
 #[cfg(unix)]
 pub mod rust_lint_scan;
-pub mod rustdoc_finding_identity;
 pub mod rustdoc_repair_brief;
 #[cfg(unix)]
 pub(crate) mod rustdoc_task_recheck;

crates/codeguard-cli/src/rust_build_command.rs

@@ -1,6 +1,6 @@
 //! 原生 Cargo/check 类型检查观察；完整项目策略与修复任务仍独立核验。
 
-use crate::cargo_build_finding_identity::cargo_build_finding_record;
+use codeguard_adapters::cargo_build_finding_record;
 use crate::cargo_build_repair_brief::cargo_build_repair_brief;
 use crate::check_budget::{
     budget_record, parse_check_timeout, resolve_project_default, select_check_timeout,