Open-source health: CI, CONTRIBUTING, and SECURITY

[TN019]

背景

公开开源仓库缺三样标准配置：自动化测试、贡献指南、安全披露政策。一并补齐。

改动与实现

• CI（.github/workflows/ci.yml）：push 到 main / 每个 PR 上跑快测试（ubuntu + Python 3.12 + uv → uv sync → uv run pytest）。真实引擎 / Ollama 冒烟由环境变量 gated，CI 不触发
• CONTRIBUTING.md：上手步骤 + 贡献条款。关键是「Contribution terms」——贡献者在 MIT 之外额外授予维护者永久、不可撤销的再许可权（可将其贡献以任意条款，含商业/闭源，重新许可）。这保住了「现在开源、日后可换协议出售」的选项；不同意者请勿提交贡献（法律条款以英文为准，非法律意见）
• SECURITY.md：漏洞私密披露走 GitHub Security Advisories，不开公开 issue；说明 Scripto 纯本地、不上传、无监听端口，主要安全面在本地文件/子进程处理

验证

• 本地 uv sync && uv run pytest -q：137 passed / 5 skipped（CI 等价链路）
• CONTRIBUTING / SECURITY 内所有链接指向本仓库真实路径