feat: add read-only immutable serving image identity diagnostic

[Pigbibi]

现有账户事实身份诊断能定位实际承接流量的 revision，却不能确认该 revision 镜像中的依赖元数据。本 PR 新增独立只读诊断：从唯一正流量 revision 解析并核对不可变镜像 digest，在无网络、只读、非 root 且不注入受保护配置的隔离容器中读取发行包元数据，再复读服务流量以拒绝探测期间的变化。

使用隔离 Python -I -S 与标准库，不调用服务入口、业务模块或交易接口。公开结果只包含固定状态、原因、可空相等关系及 workflow 源提交；不输出真实服务、revision、镜像、版本、账户或凭据值。镜像元数据观测不等于运行进程加载证明或独立版本批准，缺失信息保持 unknown/partial。

验证：50 项新增回归；262 项聚焦检查通过；全量 1561 passed / 5 既有 skipped；Ruff、锁文件、依赖 pin、惰性启动和新增 workflow 的 actionlint+ShellCheck 通过。没有修改原发布器、身份诊断、镜像绑定 guard、依赖 pin、Dockerfile 或生产配置；真实只读镜像探测将在最终 CI 和正常合并后运行。

关联 QuantRuntimeSettings#632、QuantRuntimeSettings#634。未解决的独立批准、receiver 绑定轮换和自然生产者恢复继续保留。