docs(governance): establish GitHub settings baseline

[lzm0x219]

摘要

新增 GitHub 平台设置基线，用于记录无法完全由 Git 文件表达的组织与仓库 Settings 期望状态、核查证据和偏差处理方式，并在仓库 README 中增加入口。

主要修改

• 新增 docs/github-settings-baseline.md：
  • 定义 Verified、Partial、Unknown、Not Applicable 四类状态；
  • 覆盖组织访问、Actions 策略、.github 仓库 Ruleset、标签同步 Environment、GitHub App、安全设置和 CODEOWNERS；
  • 提供首次核查表、核查周期、偏差处理流程和审计记录模板；
  • 明确不得记录 Secret、Token、私钥或 Client Secret；
  • 明确本文件不是组织治理规范，不复制 ecosystem 中的组织规则。
• 更新 README.md，在快速入口中增加 GitHub Settings 基线链接。

设计边界

• 本 PR 只记录期望状态和核查方法；
• 不修改任何真实 GitHub Settings、Ruleset、Environment、GitHub App 权限或 Secret；
• 不修改 profile/README.md；
• 不修改 ecosystem 或其他 MathArts 仓库；
• 不复制标签定义、仓库 Allowlist、Required Check 名称或 Environment 名称等机器事实。

原因

Ruleset、Environment、GitHub App 安装范围、安全功能开关和组织权限等关键状态存在于 GitHub UI，无法仅通过仓库代码审查。缺少基线时，配置漂移只能依赖维护者记忆，且容易把“尚未核查”误认为“已启用”。

验证

• 分支基于最新 main 提交 be9afe9；
• 当前分支 ahead 2、behind 0；
• Diff 仅包含 2 个文件：README 增加 1 行，新基线文档 301 行；
• 所有初始核查状态均标记为 Unknown，未虚构当前 GitHub Settings；
• PR CI 将运行现有 Markdown、链接、Action 固定引用和治理脚本检查。

审查重点

• 基线是否保持在 .github 的 GitHub 平台治理职责内；
• 是否清楚区分期望状态、真实 Settings 和组织规范；
• 单维护者阶段的 Ruleset 与 Required reviewer 建议是否可操作；
• 核查表是否包含敏感信息泄漏风险。