fix(scripts): 让 Rust 告警取数确定性（挂进 npm run lint；clean 本 profile 包 + fresh 完整性断言 + 精确包集 + first-party 过滤）

接法：挂进 npm run lint（CI 的 Repository checks 与推 master 时的 pre-push 共用那条命令），不新增 job/hook；此前自造的 pre-push 触发接线（.husky/pre-push 改动、scripts/pre-push-rust-warnings.mjs、额外 CI job）已撤。
确定性：profile 专属 target 目录 + 对本 profile first-party 包逐个 cargo clean -p <包名> + 取数后 fresh 完整性断言（每个包必须出现 compiler-artifact 且 fresh=false，否则 exit 1 报测量不完整）；只收 first-party 路径前缀下的告警。
修掉两个口径 bug：包集把 AGC 壳下的 vendor/ 路径依赖误算成自己（改精确目录判定）；normalizeId 只取 id 的 # 片段导致server-rs 27 个同版本成员碰撞（断言永远为假）。
否决“整体清空 target 目录”：实测 AGC 壳清空后需重建 tauri/webkit 全链依赖 15-25 分钟。
实测：A 干净 agc-windows 1/1·14/14 exit 0、server-rs 27/27·0/0 exit 0；B 播种 unused import → agc-windows 15 条/新增 1、server-rs 1 条/新增 1，均 exit 1 并逐条打印；C 撤销 → 均 exit 0；负向测试（GENARRATIVE_WARNCHECK_SKIP_CLEAN 漏清一个成员）→ 26/27 + 测量不完整 → exit 1。
基线：agc-windows 14 条 / server-rs 0 条 / agc-linux 首采（首次 CI 只采集不判失败，需一次 --update-baseline）。
文档：dev 运维「Rust 编译告警门禁」同步接法、首采、开关、否决清空的原因与局限。

docs/【开发运维】本地开发验证与生产运维-2026-05-15.md

@@ -382,6 +382,15 @@ npm run check
 > - **局限**：① `git push --no-verify` 可以绕过（CI 仍会跑，但只覆盖 Linux 档 + server-rs）；② 本机 target 目录被污染时会读出假数字，取数前先 `cargo clean -p <crate>`；③ CI 不跑 clippy；④ 基线只保证「不新增」，不保证存量收敛；⑤ AGC 壳 Windows 档只有在 Windows 机器上推代码时才被检查。
 >
 > 以下小节是**历史记录**（`deny(warnings)` 时代的落法、AGC 门禁 predicate、harness 假告警边界、2026-10-06 基线表与检查命令），保留供追溯；其中的 Werror 接线与判据已随本 PR 撤销，`deny(warnings)` 在 tip 上**已 0 命中**。
+>
+> **接法更正（2026-10-07 收口）**：不另造 hook / 不新增 CI job，而是把检查**挂进 `npm run lint`**——它是 CI 的 `Repository checks`（`.gitea/workflows/project-ci.yml` 里 `run: npm run check:repository-ci` → `scripts/check-repository-ci.sh` → `npm run lint`）与「推 master 时的 pre-push」（`.husky/pre-push` → `npm run check:pre-push-master` → `scripts/pre-push-master.sh` → `npm run check:repository-ci`）**共用的那条命令**；因此一次接入，两处生效。
+>
+> - **feature 分支推送本地不跑**这项检查（`scripts/pre-push-master.sh` 只在推 `refs/heads/master` 时才真正执行；这是仓库既有行为，未改）。
+> - **测量确定性**（`scripts/check-rust-warnings.mjs`）：profile 专属 target 目录（默认 `<tmp>/genarrative-warncheck/<profile>`，可用 `GENARRATIVE_WARNCHECK_TARGET_DIR` 指向复用缓存）+ 对本 profile 的 first-party 包逐个 `cargo clean -p <包名>`，取数后**完整性断言**：profile 的每个包都必须出现 `compiler-artifact` 且 `fresh=false`，否则 exit 1 报「测量不完整」（原因：cargo 只对真正重编的 crate 打印告警，热目录下未变化 crate 的存量告警不重现，会给出「新增 0」的假答案）。
+> - **被否决的方案**：取数前**整体清空** target 目录——实测 AGC 壳清空后要重建 tauri/webkit 全链依赖（**15-25 分钟**），代价不可接受。
+> - **首采**：`agc-linux` 档本机（Windows）编不了，基线**留空**；首次 CI 运行以「采集」模式打印清单且**不判失败**，跑完需要一次 `node scripts/check-rust-warnings.mjs --profile=agc-linux --update-baseline` 入册。
+> - **开关**：`GENARRATIVE_SKIP_RUST_WARNINGS=1` 可本地跳过（日常 `npm run lint` 不想多花几分钟时用）；`GENARRATIVE_WARNCHECK_DEBUG=1` 打印包集 / clean 命令 / artifact 的 fresh 表 / message 总数。
+> - **局限**：`git push --no-verify` 可绕过；CI 侧**不覆盖** AGC 壳的 Windows 生产口径（GTK/ring 无法在 Linux 交叉编译）；基线只保证「不新增」，不保证存量收敛。
 
 - 口径：全仓 Rust **first-party** 编译 warning 清零，能直接修的一律修掉，不用 `#[allow]` 掩盖；与既有文档口径冲突的优先修订口径（同批同步改文档）；确实不能修的逐条登记原因与关闭条件。仍然禁止：新增**未登记**的 `#[allow(dead_code)]`、假引用、仅为消警删除测试；生成代码不手改（要改就改生成器）。下面一条是当前**唯一**登记的例外。
 - **已登记的 `#[allow(dead_code)]` 例外（2026-10-07，PR #650「Rust 编译告警」）**：`apps/ai-game-creator-shell/src-tauri/src/agent/codex_provider/mod.rs` 顶部的 `#![allow(dead_code)]`，覆盖它用 `#[path]` 挂载的两棵子树——`app_server`（= `agent/codex_app_server/**`，含凭据、模型目录与 OAuth 交接）与 `cli`（= `agent/codex_cli.rs`，含 CLI 请求路径）。