fix: harden provider and promotion evidence

docs/operations/ci-quality-gates.md

@@ -196,6 +196,14 @@ If any external provider command, report, trust path, or key ID is absent,
 promotion remains unavailable with `FAIL_UNVERIFIED`; there is no local
 generator/restore fallback.
 
+Each provider command must atomically emit strict provider evidence v2 from
+the supervisor bindings for evidence type, issued/expires timestamps, run
+ID/attempt, `PROVIDER_INVOCATION_NONCE`, source identity, candidate digests,
+key ID, and DER-SPKI key fingerprint. Promotion receives the two supervisor
+job outputs as `VULNERABILITY_INVOCATION_NONCE` and
+`PROVENANCE_INVOCATION_NONCE`; do not replace them with constants or values
+parsed from provider reports.
+
 Promotion verification/staging step과 promoted-release upload action 사이에는
 어떤 step도 둘 수 없고 upload에는 `if: always()`를 사용할 수 없다. 이 인접성은
 실패한 검증의 publication을 막지만 staging path를 upload action에
@@ -207,6 +215,20 @@ consumer도 artifact service나 transfer action을 신뢰 경계 밖으로 보
 manifest와 signed provider evidence에 바인딩된 digest를 다운로드 후 다시
 검증해야 한다. 현재 producer-side adjacency 자체는 consumer-side digest
 revalidation을 대신하지 않는다.
+Finalizer output은 `RUNNER_TEMP` 아래 random private directory이며 exact-five
+upload는 `${{ steps.finalize.outputs.staging_root }}`만 사용한다. 바로 다음
+`always()` cleanup은 finalizer의 token과 runner-temp device/inode를 모두
+요구한다. stable `.release/promoted-staging` directory를 만들거나 재사용하지
+않는다. exact five는 captured archive/report 두 개와 process 안에서 생성한
+provider/promotion verification v3 두 개이며 promotion record는 provider record,
+local assessment, report hashes와 run/source/candidate/nonces/key identities/
+trust-policy hash를 함께 bind한다. 이 descriptor-relative 정리는 ancestor 교체와 symlink leaf를
+fail-closed로 처리하지만 upload action의 same-UID pathname reopen 또는 atomic
+`renameat2` handoff를 보장하지 않는다. staging Gitea smoke/native adapter 확인
+전에는 그 경계를 닫았다고 보고하지 않는다. 실제 smoke는 exact-five
+upload-download와 success, validation failure, upload failure, cancellation 각각의
+cleanup을 관찰해야 한다. 현재 repository에는 native uploader나 `renameat2`
+보장이 없다.
 
 Branch protection must mark each `FE-GATE-* / <name>` check required for its
 declared tier. This repository cannot configure server-side protection by