CLI 入口修复

• 目标：关闭 Windows identity kernel direct-entry 路径比较绕过与 PowerShell 空 stdout fail-open。
• 完成：使用明确 --cli；workflow 二次断言唯一 stdout 精确等于 target；Gate crg-86e205942416。
• 回归：真实 spawn、Windows drive/UNC argv、nonzero+host、空/零多坏/mismatch 7/7；combined Node 19，frontend 247，doctor 15，Rust 110，schema/security/build/check/diff PASS。
• 边界：未执行 Actions/Windows runner，未提交推送或作平台支持声明，未混入 Swift FIX-03。
• 后续：独立复审 Gate；真实 runner 仍需另行授权。