feat(ack): add project delivery workflow

skills/ack/README.md

@@ -9,6 +9,10 @@ ACK 是一个显式调用的 Agent Skill，用三种独立角色运行工程协
 关键约束是验证者不等于实现者。每个任务最多修复三轮，仍未通过时记录为
 `leftover`，然后继续处理其它任务。
 
+项目还可以声明一个可选的交付阶段：任务全部验证后，ACK 按项目维护的 profile
+构建 DEB 或镜像、发布产物、创建 PR，并在授权范围内部署。交付配置默认关闭，
+稳定发布与生产部署始终保留人工批准点。
+
 ## 安装
 
 全局安装：
@@ -38,7 +42,8 @@ skiff init ack --project ~/code/my-app
 docs/ack/
 ├── project.md
 ├── tasks.yaml
-└── knowledge.yaml
+├── knowledge.yaml
+└── delivery.yaml       # 默认 enabled: false
 ```
 
 不会在项目中复制或链接 ACK Skill。通用规范、模板和脚本始终从已安装的 Skill
@@ -52,7 +57,7 @@ skills/ack/
 ├── README.md
 ├── VERSION
 ├── references/     # 三角色规范、闭环流程和初始化说明
-├── templates/      # project.md、tasks.yaml、knowledge.yaml 模板和 schema
+├── templates/      # project.md、tasks.yaml、knowledge.yaml、delivery.yaml 模板和 schema
 ├── examples/       # 完整示例
 └── scripts/        # 状态校验、知识选择、安全验证执行与结构化 worker launcher
 ```
@@ -61,6 +66,8 @@ skills/ack/
 `docs/ack/project.md` 只保存当前项目的命令、路径和权限差异；
 `docs/ack/tasks.yaml` 保存当前任务状态；`docs/ack/knowledge.yaml` 保存跨任务复用、
 已经独立验证的项目知识护栏。
+`docs/ack/delivery.yaml` 声明项目特有的构建、发布和部署能力；每次执行结果另记在
+`tasks.yaml.deliveryRuns`，配置与运行状态不会混在一起。
 
 ## 检查项目状态
 
@@ -70,6 +77,8 @@ Agent 会从当前 ACK Skill 目录解析校验脚本：
 python3 <ack-skill-dir>/scripts/validate_tasks.py docs/ack/tasks.yaml
 python3 <ack-skill-dir>/scripts/validate_knowledge.py docs/ack/knowledge.yaml \
   --tasks docs/ack/tasks.yaml
+python3 <ack-skill-dir>/scripts/validate_delivery.py docs/ack/delivery.yaml \
+  --tasks docs/ack/tasks.yaml --project-root <project-root>
 ```
 
 Coordinator 可以按当前任务上下文做确定性推荐：
@@ -115,6 +124,19 @@ python3 <ack-skill-dir>/scripts/run_verification.py \
 执行；关键约束应继续下沉到测试、lint、CI 或正式规范。ACK 不自动修改项目的
 `AGENTS.md`、`CLAUDE.md` 或其它 Agent 指令文件。
 
+## 配置与运行交付
+
+用户可以直接向 `/ack` 描述项目差异，例如“这个项目用 `make deb` 构建 DEB，推到
+preview APT 源，再部署到开发机”。ACK 会把它维护成
+`docs/ack/delivery.yaml` 中的声明式 entrypoint、artifact、destination、environment
+和 profile，校验后展示 diff；首次配置保持关闭，确认后才启用。
+
+交付配置只允许声明式工具 target 或仓库内可执行脚本，不接受自由 shell，也不保存
+凭据值。ACK 在任务进入 `verified` 后，按用户确认的 profile 执行，并把 revision、
+PR、产物摘要、部署目标、健康检查和日志引用写入 `tasks.yaml.deliveryRuns`。默认
+profile 只能停在 `review_ready`；稳定发布或生产部署必须经过对应 approval 步骤。
+具体契约见 `references/delivery.md`。
+
 ## 启动 Worker
 
 worker 的机器配置位于 `tasks.yaml.project.orchestration`：项目显式维护模型
@@ -180,8 +202,26 @@ fingerprint 只校验完整计划没有漂移，不是一次性令牌；成功
 Coordinator 会先读取项目状态和 `references/kickoff.md`，生成产品文档、任务拆分与
 可观测验收信号；用户确认后才派发实现和复测。
 
+首次配置交付可以说：
+
+```text
+/ack 更新项目交付配置：用 make build-deb 构建 DEB，发布到 preview APT 仓库，
+部署到 test-server 并跑健康检查；完成后创建 PR，停在 review_ready 给我审核。
+```
+
+之后处理需求时只需在确认计划中选择 profile：
+
+```text
+/ack 处理这个需求：<一句话需求>。任务验证通过后执行 review profile。
+```
+
+ACK 会自动读取 `delivery.yaml`，无需再逐步提醒它构建、上传、部署或开 PR；目标或
+权限发生漂移、缺少凭据、进入 stable/production approval 时才停下来请求决策。
+
 ## 版本
 
 当前 Skill 版本见 `VERSION`。新项目在 `tasks.yaml` 中以合法 SemVer 记录
 `ackVersion`。从 `0.10.0` 起，`project.orchestration` 与顶层 `workerReceipts` 必须
-同时存在；旧项目的 `kitVersion` 可以继续读取，但建议迁移为 `ackVersion`。
+同时存在；从 `0.11.0` 起，新项目还会生成默认关闭的 `delivery.yaml`，并在任务板声明
+`project.deliveryFile` 与 `deliveryRuns`。旧项目可以不迁移而继续使用原闭环。旧项目的
+`kitVersion` 可以继续读取，但建议迁移为 `ackVersion`。