制品安全治理：从构建产物到仓库入库的扫描闭环

源码扫过了，不等于打进仓库的 jar 或镜像就能信。入库前扫了什么、结果跟谁绑、晋级要不要重评，是另一条线。