feat(builder): merge deb-publisher + publish-docker-image into contract-driven builder skill

- skills/builder: SKILL.md, README.md, references/contract.md (make/publish
  contract v1), references/registry.md
- scripts/check.py: executable contract checker (make dry-run probes, secret
  scan, push thin-wrapper and script path checks; --build verifies real .deb)
- scripts/upload_deb.sh: migrated from deb-publisher, adds project .env
  auto-load and dirty-worktree publish gate
- scripts/publish_docker.sh: migrated from publish-docker-image publish.sh,
  now env-first (DOCKER_REGISTRY/REPOSITORY/IMAGE_TAG/PLATFORMS), refuses
  floating latest and multi-platform --load
- scripts/verify_deb.sh: metadata/content/sha256 verification with v-prefix
  normalization
- orc: deb+docker stages both route to $builder; routing table, DAGs,
  README, config untouched stage names; tests updated
- ack delivery.md + skiff source-model.md: reference builder
- remove skills/deb-publisher and skills/publish-docker-image

skills/orc/README.md

@@ -14,8 +14,7 @@ ORC 是显式调用的薄路由器：只把开发、版本发布、DEB 和 Docke
 ## 使用前准备
 
 - Orca 正在运行并启用了 orchestration。
-- 安装本次需要的 `$ack`、`$manage-release`、`$deb-publisher` 或
-  `$publish-docker-image`。
+- 安装本次需要的 `$ack`、`$manage-release` 或 `$builder`（DEB 与 Docker 共用）。
 - ORC 直接使用 skill 内共享的 `config.yaml`，不需要在每个项目初始化配置。修改这份
   配置会影响所有项目；旧的项目级 `docs/orc/config.yaml` 不再参与解析。
 - `/usr/bin/python3`；ORC v2 配置必须保持为 JSON-compatible YAML。

skills/orc/SKILL.md

@@ -73,8 +73,8 @@ JSON-compatible YAML，并由隔离的 Python 标准库解析。它固定包含
    `cursor-agent`。身份不明确时停止，不从用户任务文本、默认值或已安装 executable 猜测。
    确认宿主 CLI 可用；在 Cursor 中还要用 `cursor-agent --list-models`
    核对精确模型 ID 对当前账号可见。
-4. 确认本次所需下游 Skill 已安装：`ack`、`manage-release`、`deb-publisher`、
-   `publish-docker-image`。只检查实际会用到的项。
+4. 确认本次所需下游 Skill 已安装：`ack`、`manage-release`、`builder`。只检查实际
+   会用到的项；`deb` 与 `docker` 阶段都由 `$builder` 承载。
 5. 解析 profile 时把项目根和目标 worktree 一并交给 resolver；只有 resolver 验证目标是
    当前 Git 仓库已注册的 worktree 且身份稳定后才可创建终端。不得只做文本比较或跳过
    机器校验。
@@ -132,8 +132,8 @@ JSON-compatible YAML，并由隔离的 Python 标准库解析。它固定包含
 - 功能、缺陷、重构与验证闭环交给 `$ack`。
 - 发布版本、release 分支/PR/MR、合并、tag 与 Forge Release 交给
   `$manage-release`。
-- DEB 构建或上传交给 `$deb-publisher`。
-- Docker/OCI 镜像构建或上传交给 `$publish-docker-image`。
+- DEB 构建或上传交给 `$builder`（deb 阶段）；Docker/OCI 镜像构建或上传也交给
+  `$builder`（docker 阶段）。
 - 普通非发布 PR/MR 不伪装成版本发布；只有 ACK 已验证交付或明确的 release 流程才
   进入对应下游能力。
 

skills/orc/references/routing.md

@@ -9,8 +9,8 @@ ORC 是薄路由器，只负责意图映射、依赖、静态档位和结构化
 |------|------------|------|--------|
 | `code` | `$ack` | 功能、缺陷、重构、测试、三角色验证闭环，以及用户明确要求的普通非发布 PR/MR | 版本发布、单独上传产物 |
 | `release` | `$manage-release` | 版本号、release worktree/分支、release PR/MR、合并、tag、Forge Release、恢复发布 | 普通非发布 PR/MR、构建或上传 DEB/Docker |
-| `deb` | `$deb-publisher` | DEB 构建、校验、上传与仓库可见性 | 源码 tag、Docker 镜像 |
-| `docker` | `$publish-docker-image` | Docker/OCI 构建、push、digest 与平台验证 | 源码版本生命周期、DEB |
+| `deb` | `$builder` | DEB 构建、契约校验、上传与仓库可见性 | 源码 tag、Docker 镜像 |
+| `docker` | `$builder` | Docker/OCI 构建、push、digest 与平台验证 | 源码版本生命周期、DEB |
 
 没有匹配项时不要临时扩写某个 Skill 的职责，也不要让 ORC 自己模仿领域流程。报告缺少
 的能力，由用户决定直接执行、安装新 Skill 或另行设计。
@@ -40,14 +40,14 @@ decision gate。不得为了填满 worker prompt 而分析代码、推断版本
 ```text
 code ($ack)
   -> release ($manage-release)
-       -> deb ($deb-publisher)
-       -> docker ($publish-docker-image)
+       -> deb ($builder)
+       -> docker ($builder)
 ```
 
 只从当前 commit 构建产物：
 
 ```text
-deb ($deb-publisher) || docker ($publish-docker-image)
+deb ($builder) || docker ($builder)
 ```
 
 仅发布源码版本：