确保后端协议、配置、鉴权、路由变更与文档同步，避免 AI 与人类协作时出现行为误判。
以下改动必须同步更新文档：
internal/**、sdk/**、cmd/**行为变更- 管理 API 或配置语义变更
- 测试/发布命令变更
- workflow 触发条件或门禁策略变更
| 代码改动 | 必须同步 |
|---|---|
internal/**, sdk/**, cmd/** |
README.md 或 docs/** 或 AGENTS.md |
.github/workflows/** |
本文件 |
- 脚本：
./scripts/doc-ci-gate.sh - workflow：
.github/workflows/doc-governance.yml - 调试基线：
docs/debug-runbook.md
当前分支包含 .github/workflows/* 与运行时日志链路改动，提交前必须保持本文件同步更新。
translator-path-guard仍默认阻止internal/translator/**变更直接进入普通 PR。- 维护者作者关系（
OWNER/MEMBER/COLLABORATOR）现在允许通过该 guard 继续推进，避免维护分支被仓库级硬门禁误伤。 security.yml中的dependency-review现在会先探测 Dependency Graph 是否启用；若仓库未启用该能力，则明确记录为 skip，而不是把 PR 直接判失败。
docker-image.yml、pr-test-build.yml、release.yaml在本轮 A-lite upstream integration 中一起前移到新的 upstream 基线；提交 workflow 改动时，必须同步说明这是“upstream sync + local governance alignment”，而不是孤立的 CI 杂项变更。pr-test-build.yml现在承接本轮 registry / Codex defaults / proxy path / translator regression 的主验证入口，因此 PR 必须至少通过build、doc-gate与dependency-review三条 required checks 才能合入受保护的main。- 当 workflow 变更与根仓 gitlink 同步一起发生时，仓内文档要同时更新两层事实：子仓级
docs/**记录行为变化，根仓docs/vendor/upstream-sync-runbook.md记录 gitlink / upstream sync 基线。