build(packaging): M147 新增 linux-check-docker.sh，本机复跑 ci.yml 的两条 ubuntu 门禁

`linux-smoke-docker.sh` 复刻的是 runtime-smoke（能不能真跑起来），本脚本复刻的是**编译期
门禁**（能不能编过 / 测过）：`cargo clippy --workspace --all-targets -- -D warnings` 与
`cargo test --workspace --all-targets --no-fail-fast`，命令与 ci.yml 逐字一致。

为什么值得单独一条脚本：M144 的两条 ubuntu 红只在「Linux + --all-targets + -D warnings」
三件事凑齐时才炸，Windows 本机永远复现不了（那些 `#[cfg(target_os = "windows")]` 分支在
Windows 上都有使用者）。本脚本是「本机提前挡住它们」的唯一通道。

实现：在现成的 `ull-linux-smoke:bookworm` 上只加一层 `cmake` + `ninja-build`（`aws-lc-sys`
缺 cmake 编不过，M144 实测），缓存卷挂 `registry` 子目录（直接挂 /usr/local/cargo 会盖掉
镜像里的 cargo 本体，M62 踩过），Git Bash 路径用 `cygpath -m` 归一。

- `ULL_CHECK_STAGES`（默认 `clippy test`）：两阶段各自跑完再汇总退出码，一处红不掩盖另一处；
  `ULL_CHECK_FAIL_FAST=1` 恢复首错即停。
- `ULL_CHECK_TEST_ARGS`（默认照抄 ci.yml）：快查用 `-p unlucky-app-iced --lib`。
- 每阶段打印 `<命令> → exit=<code>`，便于与 CI 注解里的码对照。

诚实边界写在脚本头：基础镜像 Debian 12 / runner Ubuntu 24.04，只对齐编译期判定，不覆盖
发行版差异面；也不跑 fmt / build / runtime-smoke。

M147 实测（本机 Docker / ull-linux-check:bookworm / 2026-11-06）：
- `ULL_CHECK_STAGES=clippy` → exit=0（1m27s，原 14 条错）
- `ULL_CHECK_STAGES=test ULL_CHECK_TEST_ARGS='-p unlucky-app-iced --lib'` → 623 passed / exit=0

packaging/README.md

@@ -66,6 +66,7 @@ Git Bash 下会静默落进 Docker VM（脚本内部用 `cygpath -m` 归一）
 | `packaging/check_screenshot.py` | 截图非空白判定（CI 门禁 + 本地手动跑，零第三方依赖） | ≤400 |
 | `packaging/ci-runtime-smoke.md` | §11 的细节：断言口径/阈值依据/失效模式/复跑 | ≤400 |
 | `packaging/linux-smoke-docker.sh` | 本地复跑 `runtime-smoke`（Docker + xvfb） | ≤400 |
+| `packaging/linux-check-docker.sh` | 本地复跑 `ci.yml` 的两条 ubuntu 门禁（clippy / test，Docker） | ≤400 |
 | `.github/workflows/release.yml` | tag 触发 → 选槽位（`plan`）→ 调下面两个可复用工作流 | ≤400 |
 | `.github/workflows/release-build.yml` | `workflow_call`：单槽位构建（体检 / cargo / 打包 / 上传 artifact） | ≤400 |
 | `.github/workflows/release-publish.yml` | `workflow_call`：发布（`PUBLISH_SLOTS` 裁剪 / SHA256SUMS / Release） | ≤400 |