ci: harden GitHub release authority and repository hygiene

[STELS37]

Что исправлено

• единый автоматический production deploy только после verify -> build;
• старый Auto Deploy больше не выкатывает push в обход красного CI и оставлен manual-only fallback;
• production update fail-closed: dirty worktree, non-fast-forward и SHA mismatch блокируют deploy;
• superseded CI run не выкатывает устаревший commit;
• общий scripts/deploy-production.sh проверяет exact source SHA и bounded health;
• Ruff policy зафиксирована явно, чтобы новый Ruff не расширял gate молча;
• устранены реальные F/E correctness lint defects в обычном runtime-коде;
• добавлен SECURITY.md;
• удалены tracked tmp.txt / test_write.txt, добавлены ignore guards для scratch/backup ZIP.

Почему это нужно

До изменения Auto Deploy on Push мог завершаться успешно при красном CI/CD Pipeline. При этом workflow публиковал GHCR image, который production docker-compose.yml не использует: compose собирает локальный mcp-server:latest. В итоге green deploy не являлся доказательством, что новый commit реально запущен.

Граница

mcp_server_backup.zip пока не удаляется вслепую: бинарный архив нужно отдельно доказать как воспроизводимый/неуникальный и проверить на исторические secrets перед history cleanup.

Legacy-модули, прямо предназначенные для обхода safety-фильтров, этим PR не улучшаются и исключены только из текущей lint-модернизации; их runtime/public disposition требует отдельного security review.