chore: 新增签名凭据 pre-commit 拦截钩子，防止 signingConfigs 入库

docs/git-workflow.md

@@ -96,6 +96,7 @@ git push -u origin hotfix/xxx
 2. **PR 合入前过 lint + 相关测试**，见 `docs/testing.md` 的「改动后验证」。
 3. **feature 合并后删除分支**，保持分支列表干净。
 4. **提交信息必须走 Conventional Commits**，不合规的提交在 PR 中 squash 掉。
+5. **签名信息永不入库**——`build-profile.json5` 的 `signingConfigs` 必须保持空 `[]`，已由 pre-commit 钩子兜底，见 `docs/build-deploy.md` 的「签名管理」。
 
 ## 仓库设置 Repo Settings（一次性）