把两条路由门禁串进 npm run lint 并用 guardrail 锁住接线

- 根因：check:nginx-spa-routes 与 check:pingora-route-parity 从来没有自动调用方（只有切换期聚合门禁 check:pingora-release-readiness 含 parity，而它不在 CI 里跑），所以红了一个月也没人看见
- package.json 的 lint 链在 check:maintenance-page 之后接入 check:nginx-spa-routes 与 check:pingora-route-parity，因此 check:repository-ci、CI 与 pre-push 都会执行
- check-production-ops 新增两条 guardrail：断言 package.json 的 lint 链里必须出现 npm run check:nginx-spa-routes / npm run check:pingora-route-parity，删任一条立刻变红（变异验证已做）
- 文档：索引第五节与 Pingora 试点文档更新为「已接进 CI」；pitfalls 新增「为什么以前会漏：加新门禁先问它有没有自动调用方」
- 验证：npm run lint 全绿（含两条新门禁 + eslint + typecheck）、check:production-ops OK、encoding / doc-index / diff / prettier / eslint 通过

scripts/check-production-ops-guardrails.mjs

@@ -107,6 +107,18 @@ const checks = [
     includes: 'npm run lint:eslint',
     reason: 'Web 生产构建必须执行 ESLint 门禁。',
   },
+  {
+    file: 'package.json',
+    includes: 'npm run check:nginx-spa-routes',
+    reason:
+      '仓库 lint 链必须包含主站 SPA allowlist 门禁：否则模板与前端路由源漂移只在人工执行时才可见（2026-08-26 起红了一个月就是没有调用方）。',
+  },
+  {
+    file: 'package.json',
+    includes: 'npm run check:pingora-route-parity',
+    reason:
+      '仓库 lint 链必须包含 Nginx/Pingora 路由矩阵 parity 门禁：否则模板新增 location 而矩阵与网关没跟上时，门禁不会在 CI 里跑（发行网关路由就是这么漏的）。',
+  },
   {
     file: 'jenkins/Jenkinsfile.production-web-build',
     includes: 'npm run typecheck',