Add active review projection repair

[michaelluetw-bit]

解決什麼問題

ssf execution review 原本沒有只重建 root active receipt／projection 的受支援路徑。再次執行一般 review 會同步改寫 plan-scoped receipt、repair-state，並可能清除 workspace，無法符合 immutable revision evidence 的治理邊界。

實際修改內容

• 新增 opt-in --repair-active-projection，只接受 PASS，且只建立或更新 root active receipt。
• 在任何寫入前驗證 current plan、wave、Git range、report safety／hash 與 current scoped PASS snapshot。
• current root evidence 完整且一致時回傳 no-op，保留 bytes、mtime 與 recorded_at；缺少或空白 recorded_at 時會重建完整 receipt。
• execution show 改為有效 root 優先；root 缺失或無效 PASS 時回退 scoped receipt，無效 FAIL 仍維持 blocker。
• 補齊 repair 專屬的 missing／empty／outside／symlink report、無效 Git range、current invalid FAIL 與完整 no-write regression。
• 同步 README、英文 README、安裝文件、artifact contract 與 CHANGELOG，並將誤導性的 legacyPath 更名為 rootPath。

主要受影響範圍

• execution plan 的 active review projection 讀寫與驗證。
• execution review CLI dispatch、help 與 JSON 結果。
• execution plan／CLI focused tests。
• README、安裝說明、artifact contract 與 CHANGELOG。

測試／驗證結果

• Focused tests：83/83 PASS。
• npm run build：PASS。
• npm run validate：PASS。
• git diff --check：PASS，僅 Windows LF／CRLF 提示。
• Standards 與 spec／contract 雙軸獨立 code review：PASS，無未解 actionable finding。
• 完整 npm test 在 Windows baseline 仍為 exit 1；失敗類別仍是既存的 absolute-path ESM URL、CRLF-sensitive assertions、shell／process 限制與表格解析差異。本 PR 受影響的 ssf execution 與 execution plan data contract suites 全數通過，新增 repair regressions 亦全數通過。
• 一般 push 因上述既存 baseline 被 pre-push hook 拒絕；在明確授權後使用一次 git push --no-verify 推送，未將完整測試描述為 PASS。

刻意未修改或仍待處理的事項

• 未支援 FAIL active-only repair、revision migration 或 repair-chain 重建。
• 未改寫 plan-scoped review、repair-state 或 workspace 的 repair 行為。
• 未新增 runtime dependency 或新 module。
• 未修正 Windows 完整測試 baseline。
• PR 維持 Draft；未授權 merge、deploy 或 release。

[michaelluetw-bit]

Upstream maintainer action requested: both fork pull-request workflows are currently action_required and have not started any jobs.nnCould a repository admin please select Approve and run workflows for:nn- CI/CD run #216n- [Plugin Scanner run #152](https://github.com/MageByte-Zero/spec-superflow/actions/runs/31310559524)n`nThe PR description already discloses the local Windows full-suite baseline and the authorized --no-verify push. Once approved, the checks can be monitored to completion.