feat(training): add candidate model promotion workflow

[Teakowa]

对应 Issue

OWBastion/ocrkit#8 — candidate-to-stable model promotion workflow

本 PR 改动

• 候选模型发布只更新 candidate channel，不直接写 stable。
• 增加 candidate/stable 对比、holdout/fixture/provenance/critical-field/compatibility evidence 门禁。
• 增加显式 promote、previously verified manifest rollback，并复用现有 Studio。
• release script 强制携带通过 test(recognition): gate releases against supported Bastion screenshot revisions #9 的 screenshot compatibility report。

依赖与状态

这是 #8 的实现 PR，#12 已合并到 main，当前 branch 已 rebase 到最新 main。promotion 在兼容性证据缺失或失败时 fail-closed。

CI 流程

普通 PR workflow 只运行 pytest 与一次公开 run-code smoke，不再 checkout 私有数据或重复执行完整 OCR corpus。完整 Bastion screenshot compatibility gate 已拆到手动/nightly workflow，并保留 report/log artifact；model release 仍会在发布前执行完整 gate。

验证

• uv sync --locked --extra dev
• uv run pytest -q: 239 passed
• public run-code smoke: 8/8 exact
• GitHub Actions feat(training): add candidate model promotion workflow #13: Python test 45s passed；Docker GHCR 1m9s passed
• focused promotion/compatibility/release/channel tests passed
• git diff --check

Fixes #8