feat(builder): merge deb-publisher + publish-docker-image into contract-driven builder skill

- skills/builder: SKILL.md, README.md, references/contract.md (make/publish
  contract v1), references/registry.md
- scripts/check.py: executable contract checker (make dry-run probes, secret
  scan, push thin-wrapper and script path checks; --build verifies real .deb)
- scripts/upload_deb.sh: migrated from deb-publisher, adds project .env
  auto-load and dirty-worktree publish gate
- scripts/publish_docker.sh: migrated from publish-docker-image publish.sh,
  now env-first (DOCKER_REGISTRY/REPOSITORY/IMAGE_TAG/PLATFORMS), refuses
  floating latest and multi-platform --load
- scripts/verify_deb.sh: metadata/content/sha256 verification with v-prefix
  normalization
- orc: deb+docker stages both route to $builder; routing table, DAGs,
  README, config untouched stage names; tests updated
- ack delivery.md + skiff source-model.md: reference builder
- remove skills/deb-publisher and skills/publish-docker-image

skills/ack/references/delivery.md

@@ -111,9 +111,9 @@ intents:
 - `build`：调用 artifact 的 build entrypoint。DEB 必须记录包名、版本、架构和
   SHA-256；OCI image 必须记录完整引用、platform 和 digest。产物必须绑定当前 source
   revision，不能在目标机器重新拉源码构建。
-- `publish`：验证 artifact/destination 类型兼容，上传精确产物。DEB 可使用已安装的
-  `deb-publisher`；Docker 只有在用户明确指定 `$publish-docker-image` 时才加载该
-  explicit-only skill，否则必须走契约中已审查的 upload entrypoint。项目入口只接受
+- `publish`：验证 artifact/destination 类型兼容，上传精确产物。DEB 与 Docker 均可使用
+  已安装的 `builder`；Docker 轨道保持显式触发——只有用户明确点名（builder / 发布镜像）
+  时才加载，否则必须走契约中已审查的 upload entrypoint。项目入口只接受
   刚校验的精确 artifact。preview/staging 使用不可覆盖的 commit/PR 标识，不隐式使用
   `latest`。既没有可用 skill 也没有 upload 入口时标记 blocked。
 - `deploy`：把同一不可变 artifact 交给 environment 的 deploy entrypoint；获取目标
@@ -147,7 +147,7 @@ ID 指向不同 commit、digest 或目标时停止，不覆盖或另建伪装成
 ## 7. 与低层 Skill 的边界
 
 ACK 只负责读取项目交付契约、编排顺序、守住审批点并汇总证据，不复制低层 skill 的
-上传、镜像或 Git 发布实现。`deb-publisher`、`publish-docker-image` 和
+上传、镜像或 Git 发布实现。`builder` 和
 `manage-release` 仍是可独立使用、独立安装的能力；缺失时 ACK 使用契约中已审查的
 项目 entrypoint，二者都不可用时把对应步骤标为 `blocked`。低层 skill 自身要求显式
 调用时，ACK 不能绕过它的触发与授权边界。