修復 Git 中繼資料污染及同版本空範本快取

[chen21019]

根因與修正範圍

原生索引器將 Git 中繼資料、README／圖示占位檔配置為未命名範本；相同來源 commit 的快取捷徑又保留錯誤索引。另有合法根 README 被誤當版本目錄的共同解析缺口。

• 排除根 .git，在配置版本前驗證數字／semver。
• 只有成功解析的 config.yml／template.yml 建立範本身分；保留先讀取的 metadata，未有有效定義的占位項目不輸出。
• README 使用所在目錄區分範本 metadata 與版本檔案，保留版本檔、圖示、標籤與有效內容。
• 相同 commit 的空／未命名索引使用原有、名稱及環境範圍的交易重建；未修改 DB schema 或手動刪除正式資料。

前次正式候選 CI 已完成兩輪功能、race、39 項 integration 與相同位元封裝，但安全 gate 揭露 pip 內嵌的 urllib3 仍是有漏洞的 2.7.0；安裝頂層 urllib3 並不能修復它。此候選以官方 uninstall／APT purge 在準備後退役 pip、tox、virtualenv 與 build-only 套件，直接執行原有 flake8／pytest，保留兩份 hash locks、19 項測試依賴、開發者 tox.ini 與 Go/race 流程。沒有 autoremove、修改 vendored 程式、刪除 SBOM 或新增 urllib3 例外。

OpenVEX 只綁定當前 82 個 kernel-header finding/PURL；新 CI 必須證明安裝器實作／seed 已不存在、19 項依賴與 wheel hashes 完全相符、產品掃描通過及兩輪成品相同。沒有宣稱建置期間零漏洞。

實際驗證與未完成事項

• 解析器修正前負控重現；修正後 Go 一般及 race 的 5 個 top-level、8 個子案例通過，涵蓋兩種範本定義、metadata-only、README／icon、numeric／semver。
• 安裝器退役 checker 7／7 局部測試通過；語法、gofmt、diff-check 通過。
• 新 commit 的正式完整 CI、掃描、封裝及官方發布仍須通過並讀回後才合併。
• 8080 原生 Catalog 建立＋refresh 的歷史 HOLD 保留。兩筆 README-only 空列已依固定來源 commit/path/blob 與全列 SHA 證明；升級須保留八表所有有效／未知欄位、接續既有私有 Catalog 的 A→B 與清理流程。
• Server v1.6.514 整合、8080 部署與完整權限矩陣尚未通過；不部署公司環境、不修改 HAProxy、不用 runtime patch。