feat: expand SignalDesk operations workspace

[n9896027]

结果

• 扩展 SignalDesk 为 v0.14.0 本地运营工作台：跨平台选题、长帖/媒体工作流、DeepSeek 编辑与策划、MiniMax 图像/视频、Grok 订阅用量、认证账号关系研究。
• 新增签名凭据代理，OAuth/API 密钥只经受限本机 broker 访问；工作区仅保存非秘密状态。
• 修正公开仓库文档中的安全支持版本、隐私边界、发布阻塞版本与 Bug 模板版本。

安全边界

• 保持官方 OAuth/X API 与人工审批、逐条发布确认。
• 不接受密码、Cookie、2FA 或浏览器会话；不提供反检测、自动化批量互动、自动关注/取关或互关交换。
• 关系研究只调用 GET 型官方读取；不完整关系列表保持“未知”，不伪造已互关。
• 未新增第三方 Swift 依赖、公开二进制、Tag 或 Release。

本地验证

• git diff --check
• bash -n build.sh
• plutil -lint Resources/Info.plist
• YAML 解析（workflows、Dependabot、Issue 模板）
• swift test --disable-sandbox（本机 SwiftPM 完成 test target 构建；GitHub macOS runner 将执行完整 XCTest）
• ./build.sh selftest：28/28 通过，网络与 Keychain 均为模拟
• swift build --disable-sandbox -c release --product SignalDesk 与 CredentialBroker
• 当前本机 App Bundle：plist、arm64、嵌套 broker 与严格 codesign 验证通过
• 当前树、暂存内容和可达 Git 历史的红线凭据模式扫描未发现匹配
• 工作流权限、Action 全 SHA 固定和对应上游 commit 已核验
• actionlint、gitleaks、osv-scanner、syft 本机未安装；未把它们伪报为通过

远端验证

• CI：Build and test（macOS 14 arm64、macOS 15 Intel）
• Dependency review
• CodeQL Analyze (Swift)

发布状态

• 本 PR 保持 Draft；未合并、未打 Tag、未创建 GitHub Release。
• 仓库仍为 source-only。当前本地开发签名不是 Developer ID / notarized 分发物。
• 公共二进制仍缺 Universal build、Developer ID、notarization/stapling、SBOM、artifact attestation 与清洁机器验证。