refactor(release): PE 读回步骤体拆进 packaging/ci-pe-version-gate.sh（release-build.yml 400 行守门）

复审 P1-1：main 上 release-build.yml 是 400 行（贴线），上一版 +23/−10 顶到 421，越过
guards.yml 的 file-size 硬门禁（LIMIT=400 是用户硬约束，不许抬）。按复审给定的方向「拆」：

- 新增 packaging/ci-pe-version-gate.sh（59 行）：读回两个产物 + 从 Cargo.toml 同源取版本号 +
  失败逐条转 ::error:: 注解（上限 30 行）+ 非 0 退出；找不到 python 仍 fail；
  临时日志用 mktemp + trap 清理，仓库根按脚本位置反推（不依赖 cwd）
- release-build.yml 那一步只留 bash packaging/ci-pe-version-gate.sh "$BUILD_DIR" →
  文件 421 → 396 行（比 main 的 400 还少 4）
- 判据一行没改：仍然读产物字节、仍然由 check_pe_version.py 决定红绿、仍然非 0 退出

复审 P2-2：check_pe_version.py 的「什么时候退出非 0」清单补上第 7 条第 ③ 项
（签名后不足 16 字节、读不到 dwFileVersion，check():124-125）。

packaging/check_pe_version.py

@@ -28,7 +28,8 @@ version, so "version drifted from Cargo.toml" is caught.
 4. 缺结构键 `VS_VERSION_INFO` / `StringFileInfo` / `VarFileInfo` / `Translation`；
 5. 缺承诺字段名，或字段值不等于承诺值（CompanyName / ProductName / FileDescription / LegalCopyright）；
 6. `OriginalFilename` 不是 `<bin>.exe`；
-7. 给了 `--expect-version` 时：四段式版本字符串不在资源里，或 `dwFileVersion` 与它不一致。
+7. 给了 `--expect-version` 时：①四段式版本字符串不在资源里；②`dwFileVersion` 与它不一致；
+   ③签名之后不足 16 字节、读不到 `dwFileVersion`（`FIXEDFILEINFO` 被截断）。
 
 其它：`--self-test` 自检失败 → 1；没给产物也没给 `--self-test` → 2（打印用法）。
 输出本身**不再是**失败原因：`safe_streams()` 保证「汉字打不出来」不会把一条通过的判据变成红。