test(ci): CI 必需运行时清单显式化，bash/rm 显式标注为平台相关

[ROM4n2]

把「CI 必需运行时」清单显式化成守卫，并钉住一条否定式结论：bash 与 rm 都不是 CI 必需。

调研推翻了两条前提（上一轮任务书写错了）

① shutil.which("rm") 全仓 0 次。 三重交叉验证：grep -rc 'shutil.which("rm")' tests/ delector/ = 0、def test_cleanup 全仓 0 次、delector/core/database.py 内 shutil 0 次。tests/db_cleanup.py::remove_db_files 用的是跨平台 os.remove。⇒ 我上一轮 work.log 里记的"database.py:2086 的 test_cleanup 用 shutil.which("rm")，是第 8 处同类漏网"是错的，在此更正。

② bash 判为「平台相关」，不进 CI 必需清单。 依据：

• CI 是 ubuntu-latest，bash 由镜像自带，且 GitHub Actions 的 run: 步骤本身就以 bash 为默认 shell——ci.yml 里那些 shell: bash 正是靠这个默认，不存在"缺 bash"的现实路径
• tests/test_server.py:2591 的 skip 不是 if not shutil.which("bash")，而是 _find_bash() 五套策略的最后一招（git-bash 路径 → where bash → PATH 扫描 → shutil.which，见 :2574）。其语义是"本机找不到任何可用 bash"——Windows 无 Git-Bash/WSL 时跳过是正确行为，不是"守卫静默失效"
• 升级为 fail 会让无 bash 的本地环境直接红，违背 fix(encounter): 降级状态与本次调用绑定，消除并发下的串味误标 #106 明确的"不做 CI 零 skip 禁令"

⇒ 本 PR 未改动 conftest.py，扩进清单的项为 0。session 检查现状已正确，硬塞 bash 只会制造一条错误的门禁。

守卫内容（tests/test_ci_hardening.py +165）

1. 清单 ↔ 实现双向一致：conftest.py 实际强制的运行时集合 == 守卫里的显式清单（防止"代码加了但清单没记"与反向脱节）
2. rm 显式列为"平台相关、非 CI 必需"并断言其不在清单里——防将来有人误升级为 fail
3. bash 显式列为"平台相关"，并有一条反向钉：断言它不在 CI 必需清单里
4. local_env_still_skips：钉住 conftest 的 CI 判据仍是环境变量判定（改恒真会红）

无 RED 是诚实结果，不是跳过 TDD

新守卫首跑直接绿（21 passed）——因为核实结论就是"清单无需变更"。改用五条变异证明守卫非空转：

变异	结果
① 清单 ("node",) → ()	1 failed, 19 passed, 1 skipped
② 清单加 rm	2 failed（assert 'rm' in {'node'}）
③ 清单加 bash	2 failed
④ bash 同时进两个清单	3 failed，含 not_promoted_to_fail[bash]
⑤ conftest CI 判据改恒真	2 failed，含 local_env_still_skips

每条均 cp 还原 + diff 确认 RESTORED IDENTICAL（测试文件 4 次、conftest 1 次）。

门禁（两道 mypy 都跑）

项	结果
test_ci_hardening.py	21 passed（0 skip）
test_probe_wiring_guard.py	5 passed
test_server.py -k precommit	6 passed（bash hook 测试真跑，未被误判红、也未 skip）
mypy --follow-imports=skip tests	93 files 0 error
mypy --strict delector tools	70 files 0 error
ruff	通过

零 static/ / delector/ / tools/*.mjs 改动 ⇒ 不触发发版。