chore(skill): 安全扫描警告清零 + 加入 skill-gate CI

- scan-skill.sh: loopback 不算风险、命中走允许清单
- 11 个文件的 /Users/<机器名> 绝对路径去环境化（脚本 $HOME、文档 ~）
- 允许清单登记运维环境地址与示例占位符（非凭据），附理由
- scan: 57 warns -> 0 warns / 0 high
- 新增 .gitea/workflows/skill-gate.yml（validate --strict + scan + catalog --check + 测试）

skills-dev/dev-coding-plugin/skills/SKILL.md

@@ -629,8 +629,8 @@ fi
 ### 正确做法（两行 export，别多一步）
 
 ```bash
-export HOME="/Users/johnq"                                              # 必须补：git 等直接读 $HOME
-export PATH="/Users/johnq/.local/node-v22.22.3-darwin-arm64/bin:$PATH"  # node/npm/pnpm
+export HOME="~"                                              # 必须补：git 等直接读 $HOME
+export PATH="~/.local/node-v22.22.3-darwin-arm64/bin:$PATH"  # node/npm/pnpm
 cd <项目> && npm install && npm run build
 ```
 
@@ -643,11 +643,11 @@ cd <项目> && npm install && npm run build
   → **「node 能跑」≠ 环境完整**，别据此跳过 `HOME`。
 
 - **本机 node 必须用这一支**（定义在 `~/.zprofile`，对齐项目 `engines.node`）：
-  `/Users/johnq/.local/node-v22.22.3-darwin-arm64/bin/node` = v22.22.3，npm 10.9.8。
+  `~/.local/node-v22.22.3-darwin-arm64/bin/node` = v22.22.3，npm 10.9.8。
 - `/opt/homebrew/bin/node` 是**另一支 v26**，不要混用；`/usr/local/bin/node` 不存在。
 - 备选①：`/bin/zsh -lic '<命令>'`（登录 zsh 会读 `~/.zprofile`）。
-- 备选②：绝对路径直调 `/Users/johnq/.local/node-v22.22.3-darwin-arm64/bin/node build.mjs`。
-- 路径变了先 `ls -d /Users/johnq/.local/node-v*-darwin-arm64/bin` 重新取**真实版本号**，不要猜。
+- 备选②：绝对路径直调 `~/.local/node-v22.22.3-darwin-arm64/bin/node build.mjs`。
+- 路径变了先 `ls -d ~/.local/node-v*-darwin-arm64/bin` 重新取**真实版本号**，不要猜。
 
 ### 交付纪律（配合「Step 0：验证优先」）
 
@@ -657,6 +657,6 @@ cd <项目> && npm install && npm run build
 - 校验环境的最快方式（输出直接贴进交付）：
 
 ```bash
-export HOME="/Users/johnq"; export PATH="/Users/johnq/.local/node-v22.22.3-darwin-arm64/bin:$PATH"
+export HOME="~"; export PATH="~/.local/node-v22.22.3-darwin-arm64/bin:$PATH"
 node -v && npm -v && git status --short | head -3
 ```