ci: 设计真相源检查挂 CI（PR + main push 自动跑四道闸）

- 新增 tools/check-l1-sync.mjs：L1 同源四道——tokens 快照逐字节、icons
  两端同集同内容、官网 token 值对齐原型主题 A、web 硬编码 hex 扫描
  （白名单 #fff/#1677ff，ds-allow 可豁免）；注入测试验证红绿行为
- 新增 .gitea/workflows/checks.yml：pull_request + push(main) 触发，
  串跑 check-ds 12 道 / check-l1-sync / check_ds_code / codegen 新鲜度
  （regen→dart format→零 diff，消除重跑假 diff 问题）
- 修复 web/checkout.njk 对公转账图标底色硬编码 #8A94A6 → var(--faint)
- CLAUDE.md「设计真相源分层」登记 CI 闸与本地等价命令

Co-Authored-By: Claude Fable 5 <noreply@anthropic.com>
Claude-Session: https://claude.ai/code/session_01JJ1g8XV1YhhmHRzhwWEW7o

.gitea/workflows/checks.yml

@@ -0,0 +1,39 @@
+name: Design Source Checks
+
+# 设计真相源检查（治理规则见 CLAUDE.md「设计真相源分层」）：
+# PR 与合并 main 时自动跑四道闸，全部纯静态检查（node + dart format），
+# 不跑 golden/fidelity（重型像素闸维持「定期体检」定位，本地手动跑）。
+on:
+  pull_request:
+  push:
+    branches: [main]
+
+concurrency:
+  group: checks-${{ gitea.ref }}
+  cancel-in-progress: true
+
+jobs:
+  design-source:
+    runs-on: mac
+
+    steps:
+      - uses: actions/checkout@v4
+
+      - name: Provision (idempotent — auto-runs if host not initialized)
+        run: sh scripts/ci/provision-mac.sh
+
+      - name: 原型设计系统闸（check-ds 12 道）
+        run: node .superpowers/prototype/tools/check-ds.mjs
+
+      - name: L1 真相源同源闸（tokens 快照 / icons / 官网 token 值 / web hex）
+        run: node tools/check-l1-sync.mjs
+
+      - name: Flutter 颜色单源闸（check_ds_code）
+        run: node client/tool/check_ds_code.mjs
+
+      - name: token codegen 新鲜度（regen → format → 与入库产物零 diff）
+        run: |
+          cd client
+          node tool/gen_tokens.mjs
+          dart format lib/core/theme/app_tokens.g.dart lib/core/theme/app_dims.g.dart lib/core/theme/app_chrome.g.dart
+          git diff --exit-code -- lib/core/theme/app_tokens.g.dart lib/core/theme/app_dims.g.dart lib/core/theme/app_chrome.g.dart