[Security][P1] Add skill signing and verification pipeline

[EXboys]

Goal

引入 Skill 包签名与本地验签，建立基础可信发布链。

Task checklist

• 定义签名元数据（签名算法、key_id、签名时间）
• 增加 skilllite skill sign（发布侧）与 skilllite skill verify-signature
• 在安装/执行前触发验签（可配置强制）
• 密钥轮换机制（多 key_id 支持）
• 验签失败时策略处置（阻断/降级信任）

Acceptance criteria

• 签名有效的 Skill 可通过验签
• 篡改内容后验签失败
• 强制验签模式下失败即阻断执行

Dependencies

• Issue 1, Issue 2

Estimate

3–4 天