AGC 客户端版本号收敛为单一发号源

新增 OSS agc/global-version.json 发号模块与发号入口脚本\n构建侧优先采用发号 Job 下发的总号，未传入时本地兜底发号\n渠道高水位降级为回退断言，请求号低于渠道清单版本即失败关闭\n新增 Genarrative-Agc-Global-Version-Issue 发号 Job 与 job config\n调度管线与手动管线先发号再透传 AGC_RELEASE_VERSION\n补充单元测试、生产运维门禁、主规范与里程碑文档

scripts/check-production-ops-guardrails.mjs

@@ -7697,12 +7697,38 @@ for (const [snippet, reason] of [
 const scheduledPinnedParameterCalls = scheduledRevisionTriggerContent.match(
   /parameters: pinnedParameters/gu,
 );
-if ((scheduledPinnedParameterCalls?.length ?? 0) !== 2) {
+// AGC 客户端版本号统一由发号 Job 产生：调度管线只能在 pinnedParameters 之上
+// 追加 AGC_RELEASE_VERSION，不能另起一份 revision 或自己递增渠道版本。
+if (
+  (scheduledPinnedParameterCalls?.length ?? 0) !== 1 ||
+  !scheduledRevisionTriggerContent.includes(
+    'def agcParameters = pinnedParameters + [',
+  )
+) {
   failed = true;
   console.error(
-    '[check:production-ops] 调度管线必须用同一份 pinnedParameters 同时触发 Full Build 与 AGC Windows Build。',
+    '[check:production-ops] 调度管线必须让 Full Build 与 AGC Windows Build 共用同一份 pinnedParameters（AGC 只允许追加发号 Job 下发的总版本号）。',
   );
 }
+for (const [snippet, reason] of [
+  [
+    "AGC_GLOBAL_VERSION_JOB_NAME = 'Genarrative-Agc-Global-Version-Issue'",
+    '必须把客户端版本号收口到专用发号 Job',
+  ],
+  [
+    "string(name: 'AGC_RELEASE_VERSION', value: env.AGC_GLOBAL_VERSION)",
+    '必须把发号 Job 下发的总版本号透传给 AGC Windows Build',
+  ],
+  [
+    "AGC_GLOBAL_VERSION_ARTIFACT = 'agc-global-version.txt'",
+    '必须从发号 Job 的归档产物读取总版本号',
+  ],
+]) {
+  if (!scheduledRevisionTriggerContent.includes(snippet)) {
+    failed = true;
+    console.error(`[check:production-ops] 调度管线${reason}。`);
+  }
+}
 if (
   !scheduledRevisionTriggerJobConfig.includes(
     '<scriptPath>jenkins/Jenkinsfile.scheduled-revision-trigger</scriptPath>',