chore: 凭证防泄漏检查落地——check-secrets 脚本入库 + CI 兜底 step（ADR-021）

- 新增 scripts/check-secrets.sh 与 scripts/hooks/pre-commit（三仓同构，规则单一来源）
- ci.yml 在 checkout 后新增 Secret scan step（同一脚本 --all），既有 step 未动
- 验收：全仓 234 个已跟踪文件扫描零误报；假凭证自测 9 类命中全拦截

Co-Authored-By: Claude Fable 5 <noreply@anthropic.com>

.gitea/workflows/ci.yml

@@ -26,6 +26,10 @@ jobs:
           git remote add origin "$AUTH_URL/${{ github.repository }}.git"
           git fetch -q --depth 1 origin "+${{ github.ref }}:refs/ci-head"
           git checkout -q refs/ci-head
+      # 凭证防泄漏兜底（ADR-021）：与本地 pre-commit 同一脚本、同一规则表，
+      # 扫全部已跟踪文件（覆盖本次 push 变更的超集），纯 shell 零外部依赖。
+      - name: Secret scan
+        run: sh scripts/check-secrets.sh --all
       - name: Install Flutter (flutter-io.cn mirror, toolcache reuse)
         run: |
           FLUTTER_VERSION=3.44.6