ci: release Univer CLI to insider-npm

[hexf00]

必要性

重命名后的新 Univer CLI 仓库只有本地 pack 脚本，没有可审计的 CI 发布入口，并且源码 package.json 的业务版本会迫使每次发布提交版本号。当前应用还需要明确锁定 0.5.x 版本线，以及 alpha、insiders、dev 三种发布合同。

正确性

• 源码版本固定为 0.0.0 哨兵，精确版本由发布请求注入并写入 release manifest。
• 0.5.x-alpha.* 仅由同名 Git tag 触发；0.5.x-insider.* 仅允许从默认分支手动触发；0.5.x-dev.* 仅允许本地触发。
• 三个 dist-tag 都只写入 insider-npm；没有 public npm promotion 路径。
• CI 校验默认分支祖先关系、干净工作树、139 个 SDK 依赖声明的精确 cohort、tarball 完整性、workflow source SHA 和 registry readback。
• prepare 与 publish job 传递同一个隐藏 artifact；发布 job 不重新构建。
• 应用制品不混淆，并拒绝 sourcemap、源码、测试及 release audit 文件进入 tarball。

长期行为

发布实现只有 release:cli 一个入口。alpha/tag、insiders/dispatch 和 dev/local 共用相同的打包、审计、隔离安装和发布实现，避免三条路径继续漂移。Promotion workflow 保持为后续独立工作。

验证

• pnpm check：通过，包括 17 个 CLI 测试文件、82 个 CLI 测试及真实 Sheet/Slide/Doc/Board/Base 浏览器渲染回路。
• release 定向测试：40/40 通过；补充 source SHA 校验后相关测试 11/11 通过。
• 0.5.0-dev.release-ci-audit dry-run：隔离安装、doctor、8 个 Skills、Viewer HTTP 200、daemon/Gateway 均通过。
• release tarball：28,651,792 bytes packed，123,327,599 bytes unpacked，229 files，禁止文件 0。