fix: separate Fifth Domain source deployment identities

gls/GLS-0241-HOLOLAKE-SOURCE-OWNERSHIP-AND-DEPLOYMENT-ROUTING.hdlp

@@ -0,0 +1,49 @@
+# GLS-0241 · HoloLake 源码归属与部署路由架构
+
+> **状态**：`SECURITY_BOUNDARY_REGISTERED · PERSONAL_ROUTE_ACTIVE · TEAM_AND_PUBLIC_REPOSITORIES_PENDING`
+>
+> **事件**：2026-07-26 发现团队人格体可读取共享研发仓后，直接选择冰朔个人发行路径进行部署。
+
+## 1 · 不变量
+
+源码可读不等于可部署。部署必须同时绑定：
+
+```text
+源码所有者编号
+× 人类授权者编号
+× 执行人格体编号
+× 公共执行运行时编号
+× 物理仓库编号
+× 源码频道编号
+× 发行类型
+× 目标节点编号
+```
+
+任何一项缺失、待登记或不匹配，都返回拒绝，不得按仓库名、目录名或相似版本猜测。
+
+## 2 · 三类事实源
+
+| 类型 | 源码位置 | 当前状态 | 部署规则 |
+|---|---|---|---|
+| 个人产品源码 | 每个人自己的服务器与个人研发仓 | 冰朔路径已登记：`ICE-GL∞ / ICE-GL-ZY001 / SYS-GLW-ZY-EXEC-0001 / REPO-008 / HLP-CHANNEL-0001 / JD-FD-PRIMARY` | 所属人类授权、自己的主控人格体进入公共执行运行时后，仅部署到自己的节点 |
+| 团队产品源码 | `AW-GZ-001` 企业服务器上的企业研发仓 | 仓库编号与频道编号待登记 | 未登记前禁止从个人仓生成团队部署 |
+| 公共研发模块 | 独立公共模块仓 | 仓库编号待登记 | 只提供带版本、依赖、权限和来源的可复用模块；不作为整套应用部署源 |
+
+## 3 · 当前修复
+
+- `REPO-008` 从“团队、个人、模块混合部署源”收束为冰朔个人源码物理源兼研发导航入口。
+- HoloLake 仓库内 `research/source-route-policy.json` 负责打包前误用拦截。
+- 小湖灯 `deployment-repositories.json` 负责服务器侧权威拦截。
+- 部署事件与常驻 Agent 必须各自再次校验源码归属，避免只绕过一层。
+- 人类 `ICE-GL∞` 是所有者与授权者，不得被当作执行人格体；冰朔的铸渊主控事实号是 `ICE-GL-ZY001`。
+- 公共铸渊人格系统以 `SYS-GLW-ZY-EXEC-0001` 作为现实执行运行时登记，不得覆盖冰朔的铸渊主控身份。
+- 团队页面仍可在个人仓中只读参考和本地开发，但不得生成团队部署产物。
+
+## 4 · 下一登记
+
+1. 在 `AW-GZ-001` 创建企业 HoloLake 研发仓，取得正式 `REPO-*` 与 `HLP-CHANNEL-*`。
+2. 创建公共研发模块仓，登记模块清单、语义版本、依赖、权限和来源签名。
+3. 把团队源码迁入企业仓；把可复用模块抽到公共模块仓。
+4. 更新 `FD-REPO-MAP-001`、小湖灯部署注册表和 HoloLake 源码策略后，才启用相应部署。
+
+本架构不隐藏源码，也不阻止合法协作；它只阻止跨所有权部署。