ci: backport stable release hardening from develop

[seonghobae]

Summary

• Backport the release hardening needed on main so the next stable cut ships exported *.intoto.jsonl provenance bundles, better Scorecard visibility, and tighter workflow defaults without another noisy develop merge.
• Add a supported GHCR delivery path on main with a lean multi-arch API image, an opt-in NVIDIA image, and ClusterFuzzLite coverage so stable releases inherit the same container and fuzzing guardrails already proven elsewhere.
• Capture the selective stable-sync rationale in plan docs and changelog updates so future release work can build from a clean, documented backport instead of repeating branch-wide sync churn.

Verification

• uv sync --frozen --all-extras
• uv run pytest
• PYTHONWARNINGS=error uv run pytest
• uv run pytest --cov=src/newsdom_api --cov-branch --cov-report=term-missing --cov-fail-under=100
• uv run mkdocs build --strict
• ./.venv/bin/python fuzzers/dom_builder_fuzzer.py --smoke tests/fixtures/mineru_sample.json
• podman build -t newsdom-api-local-smoke .
• podman run -d --name newsdom-api-local-smoke -p 18080:8000 newsdom-api-local-smoke + http://127.0.0.1:18080/health
• python3 \"$HOME/.config/opencode/scripts/lint_by_filetype.py\" --json

Summary by CodeRabbit

• 새 기능

  • 멀티 아키(amd64/arm64) 기본 컨테이너 및 선택적 NVIDIA 이미지 배포 경로 추가; 컨테이너화된 서비스 실행·헬스체크 제공
  • PyInstaller 기반 단일파일 퍼저 배포와 ClusterFuzzLite 통합(퍼저 빌드·실행·코퍼스 포함) 도입

• 문서

  • 컨테이너·NVIDIA 사용법, 퍼징 스모크 예제, 릴리스 증명서(.intoto) 내보내기 절차 및 안정화 계획 보강

• 테스트

  • 컨테이너 배포·퍼저 통합·릴리스 증명서·워크플로우·거버넌스 검증용 테스트 대폭 추가

• 기타

  • 릴리스 증명서 추출 유틸리티·CI 워크플로우·저장소 메타(코드소유권·린트·보안 정책) 정비