Add read-only Flex configuration preflight

[Pigbibi]

IBKR Flex 凭证和既有绑定字段目前只能通过发布任务间接检查；仓库 Secret 名称查询返回 403，不能据此判断字段缺失。增加手动、仅 main 可执行的配置形状检查，按固定字段返回 missing / invalid / configuration_shape_valid，以及执行提交 SHA；不输出配置值或异常文本。

--preflight 在发布开关之前退出，复用原有 _config 校验，仅使用现有八个 Repository secrets。它不调用 Flex、券商、Worker 或通知，不修改发布开关、账户绑定、权限、运行时选择器或 QPK 固定版本。形状通过仍不证明凭证有效、原生账户授权或 Worker token 匹配。

验证：85 项聚焦测试通过；全量 1846 passed、5 个既有 skip；frozen sync、Ruff、锁文件、启动检查、现有 CI 指定 QPK pin 和 actionlint / ShellCheck 通过。独立复审无可操作问题；原有测试和默认发布主体保留。默认 canonical QPK 检查仍发现公共 main 与现有固定版本差异，本次不调整固定版本。

最终 head 59b3cc82da1ff61c40c7355bf6ce3a0cd3e99474 的 PR CI 38451507725 成功；正常合并 a41fe634426d6bb48f24274a3f6ae9c338b6b244，main CI 38451856685 成功，审核树与合并树一致。

实际 main 配置检查 38451879253 已执行：两个 Flex 字段 missing，另六项 configuration_shape_valid；配置检查按合同返回失败。该回执不证明凭证有效、独立账户批准或两端同步令牌相等。未调用券商、发布、开启开关或改生产配置。