ci(release): 发布工作流加显式 run-name，Actions 列表不再显示提交信息（M268）

release.yml / release-guard.yml 之前没有 run-name，GitHub 默认拿提交信息当运行名，
于是 v0.2.4 那条把「孤儿提交 / 无父 / 树 = dev <hash>」这类快照模型术语贴到了公开界面。

- release.yml: tag push / tag ref dispatch => `Release v0.2.4`；分支 ref dispatch => `Release 试跑 main（分支 ref，不发布）`
- release-guard.yml: push main / dispatch => `Release guard · main`；PR => `Release guard · PR #123`
- release-publish.yml: workflow_call 不产生自己的 run，故不加（文件头写明理由）
- 只新增 run-name，所有已有 `name:` 一字未动
- packaging/docs/artifacts-and-version.md 新增 §2.1：里程碑快照提交信息只写版本 + 一句话，附正/反例

.github/workflows/release-guard.yml

@@ -1,5 +1,12 @@
 name: Release guard
 
+# （M268）显式 `run-name`：本文件**不是**可复用工作流（`on:` 是 push main / pull_request / workflow_dispatch），
+#   每次都在 Actions 列表里单独占一行，所以同样吃「运行名 = 提交信息」这条默认行为——v0.2.4 的发布提交推到 main 时，
+#   那段「孤儿提交 / 无父 / 树 = dev …」在这里也会再泄漏一次。PR 事件的 `github.ref_name` 是 `<PR 号>/merge`，
+#   贴出来不人读，故按事件分两支：PR 用 `github.event.pull_request.number`（`github` 上下文，run-name 可用且必有值），
+#   其余（push main / dispatch）用 `ref_name`（`refs/heads/main` ⇒ `main`，非空）。**`name:` 一字未动。**
+run-name: "${{ github.event_name == 'pull_request' && format('Release guard · PR #{0}', github.event.pull_request.number) || format('Release guard · {0}', github.ref_name) }}"
+
 # 发布标记语义守门（M163）：**push tag 默认创建稳定版**这条不许只靠注释保证。
 #
 # 判据全部在 `packaging/check_release_semantics.py`，它做四件事：

.github/workflows/release-publish.yml

@@ -1,5 +1,10 @@
 name: Release / publish（可复用）
 
+# （M268）**故意不加 `run-name`**：本文件只有 `on.workflow_call`，由 `release.yml` 的 `release` job `uses:` 调用。
+#   可复用工作流**不产生自己的 run**——它的 job 挂在调用方那一次 run 里（Actions 列表里只有 `release.yml` 那一行，
+#   运行名由 `release.yml` 的 `run-name` 决定），所以这里写 run-name 是死代码，写了也不会显示。同理没有 `name:`
+#   改动。真正需要 run-name 的另一处是 `release-guard.yml`（那是独立触发的，会单独占一行）。
+#
 # Release 流水线的**发布侧**（M145 拆分：`release.yml` 顶到 400 行红线）。本文件 = 拆分前 `release.yml` 的 `release`
 # job **逐字搬家**：裁剪白名单外的槽位产物、重算全量 `SHA256SUMS.txt`、渲染 `packaging/release-notes.md` 模板、
 # `gh release create/edit` 的同 tag 幂等，全部照旧。留在调用方 `release.yml` 的只有三件事：`needs: build`、

.github/workflows/release.yml

@@ -1,5 +1,16 @@
 name: Release
 
+# （M268）显式 `run-name`：**不写这一行，GitHub 就把提交信息当运行名**贴到 Actions 列表上——公开界面曾经出现
+#   「release: v0.2.4 里程碑快照（孤儿提交，无父；树 = dev 68362e5）」，把 D41 快照模型的实现术语泄漏给所有人。
+#   取值面已核（文档：`run-name` 可用 `github` / `inputs` / `vars`，无特殊函数限制）：
+#     push tag `v0.2.4`   ⇒ `github.ref = refs/tags/v0.2.4` / `ref_type = tag`    ⇒ `Release v0.2.4`
+#     dispatch 在 tag ref 上 ⇒ 同上（`gh workflow run release.yml --ref v0.2.4`）⇒ `Release v0.2.4`
+#     dispatch 在分支 ref 上 ⇒ `github.ref_name = main` / `ref_type = branch`   ⇒ `Release 试跑 main（分支 ref，不发布）`
+#   两种 ref 面上 `ref_name` 都非空（`ref` 一定存在），故不需要兜底分支。分支 ref 单独成一种写法是因为它被
+#   `release` job 的 `if: github.ref_type == 'tag'` 挡在发布之外——一律写 `Release main` 会让人以为 main 上发了版。
+#   **只新增 run-name，`name:`（工作流标识符）一字未动**：改名会断掉历史 run 与分支保护/规则的匹配。
+run-name: "${{ github.ref_type == 'tag' && format('Release {0}', github.ref_name) || format('Release 试跑 {0}（分支 ref，不发布）', github.ref_name) }}"
+
 # 发布流水线：tag `v*` → **默认构建四个槽位**（原生 `windows-latest` / `windows-11-arm` / `ubuntu-22.04` /
 #   `ubuntu-22.04-arm`）→ 单文件产物 + SHA256SUMS → artifact + GitHub Release。**push tag 默认创建稳定版**（M163：不带
 #   `--prerelease`，否则 `releases/latest` 永远 404、自更新通道取不到清单）；同 tag 重跑幂等（覆盖资产与说明、不 create、