Integração contínua

O CI roda em PRs e pushes para main, é fail-closed e não faz deploy nem merge. Instala com npm ci, executa typecheck backend/UI, Vitest, build da UI e scan de segredos. Um erro bloqueia o workflow.

O Goal validation runner usa as mesmas categorias para o projeto gerenciado: diff, secret scan, typechecks, testes e build conforme o layout. A saída falha é guardada como artefato limitado e resumida no próximo contexto de correção.