fix(docker): deadsnakes 索引没抓下来时硬停（推翻 bash-builtins 假设）

[ReSerendipity]

这条修什么

docker-build.yml 的镜像构建会间歇性红：

run	时间	结果
35598902698	09-21 12:19	红
35599696780	09-21 12:28	红
35607107888	09-21 13:40	绿（Dockerfile 未变）

根因（并且推翻我先前写进 docs/DOD.md 的判断）

先前我认定根因是 update-alternatives: error: alternative path /usr/share/man/man7/bash-builtins.7.gz doesn't exist，还为此开了探针 PR #110。这个判断是错的：探针作业 5 步全绿，而那条 error 在绿色 run 35607107888 的 #11 97.72 同样出现 —— 它是 apt-get upgrade 期间的良性噪声，和构建失败无关。

真链条（红 run 的日志）：

Ign:7 https://ppa.launchpadcontent.net/deadsnakes/ppa/ubuntu jammy/main amd64 Packages
W: Some index files failed to download. They have been ignored, or old ones used instead.
   >>> apt-get update 退出码 = 0        ← 静默降级发生在这一格
E: Unable to locate package python3.12     ← 报错落在两条命令之后，且不像网络问题
E: Unable to locate package python3.12-venv

绿色 run 的同一行是 Get:7 ... Packages [44.3 kB]。也就是说：deadsnakes 的索引抓不抓得到决定构建成不成立，而 apt 对"某个索引没抓下来"只给 W: 并返回 0。

改法

builder 与 runtime 两段都把「PPA 索引里真查得到 python3.12」当作继续的前置条件：Acquire::Retries=3 重试至多 5 轮，仍取不到就非零退出，并把原因写成「PPA 侧或网络故障，不是本仓依赖声明问题」+ 可直接 curl 核对的 URL。没有引入 path-exclude、|| true 之类未经验证的规避。

验收方式（不靠"等下一次抖动"）

临时探针作业 _docker-apt-probe.yml 用 awk 从 Dockerfile 里抽出原文执行（守卫段 + 第一条 RUN，避免手抄副本漂移），然后把 deadsnakes 源指向 127.0.0.1:9、删掉已缓存索引，造出与 CI 现场等价的状态，要求同时成立：

1. 反空验证：未加 PPA 时 apt-cache show python3.12 必须判 false（否则这条前置条件恒真、等于没守卫）；
2. 旧序列复现出「update 返回 0 + W: Some index files failed to download → install 报 Unable to locate package」；
3. 新守卫在该状态下非零退出并打出可操作原因；
4. 健康态下 Dockerfile 第一条 RUN 原文整段跑通（证明修法没把正常路径弄坏）。

探针自身还断言抽取结果（必须含 $i、Acquire::Retries、不得越界到下一条 RUN）—— 本地已跑过：guard.sh/run01.sh 在 CRLF 与 LF 两种行尾下 md5 一致；用 stub 替掉 apt 后，健康态 1 次判据即放行、破坏态跑满 5 轮后退出码 1。

结论拿到后删掉探针文件；最终验收 = 完整镜像构建跑绿。

与 #110 的关系

#110 是按错误假设（bash-builtins/manpages）开的一次性探针，它的价值是把那条假设证伪了（5 步全绿）。故关闭 #110，由本条接替。

Refs: #110；docs/DOD.md 里"确定性 apt 故障"的记载需按本条改写。

[ReSerendipity]

探针已拿到结论并删除（commit 89dd40c）

探针 run 35616302808（真 Linux + 同一基础镜像，4m52s，8 步全绿）逐条对上了它要证明的东西：

要证明	实测
前置条件不是恒真	未加 PPA 时 apt-cache show python3.12 退出码 100
健康态不误伤	抽出的守卫原文退出码 0（一次判据即放行，不重试）
旧序列的静默降级确实存在	破坏态下 W: Some index files failed to download... + apt-get update 退出码 = 0 → 两条命令之后 E: Unable to locate package python3.12、install 退出码 100
新守卫会硬停	同一状态下跑满 5 轮、退出码 1、打出「PPA 侧或网络故障，不是本仓依赖声明问题」+ 可 curl 核对的 URL
正常路径没被改坏	Dockerfile 第一条 RUN 原文在真实 PPA 下装到 Python 3.12.13，ensurepip 正常

破坏态是把 deadsnakes 源指向 127.0.0.1:9 并删掉已缓存索引造出来的，症状与红 run 35598902698 逐字一致 —— 也就是不需要等下一次抖动就能验收。

探针作业自身还有一处意外收获：它自己的「装上 PPA」那一步就撞了一次真的
Ign:7 https://ppa.launchpadcontent.net/deadsnakes/ppa/ubuntu jammy/main amd64 Packages
（同一作业里后面的 update 恢复成 Hit/Get）。所以这个抖动是当前状态，不是历史事故。

本地侧另有一层：用 stub 替掉 apt 后单跑守卫循环（健康态 1 次判据放行 / 破坏态 5 轮后退出码 1），
并核对抽取逻辑在 CRLF 与 LF 两种行尾下产出的 guard.sh、run01.sh md5 完全一致
—— 抽取本身不随行尾漂移。verify_cloud_native.py 的 A1/A5/A7 在改动后仍全绿，mypy 棘轮 103 不变。

剩下的最终验收 = 完整镜像构建（Build & Scan Image）跑绿。

顺带一条与本 PR 无关的门禁噪声：Secret Scan (gitleaks, full history) 这次红是
curl: (22) The requested URL returned error: 504（下载 gitleaks 二进制失败，7 秒即挂），
不是扫到密钥。已重跑。这正是本 PR 修的那一类形状：上游取不到东西时，门禁以"看起来像成功"的方式挂掉或跳过，
区别只是 gitleaks 这条至少是硬失败。