docs(skill): add appendix provenance sources, checker and CHANGELOG

SKILL.md claimed its appendix was spliced verbatim from
templates/roles/ by a generation script (see CHANGELOG), but the pack
contained none of the three. Add the nine role sources (mechanically
split from the v0.2 appendix; SKILL.md untouched, zero semantic
change), tools/check_appendix.py (verify + --emit, stdlib only, never
edits SKILL.md), CHANGELOG.md, and test_skill_appendix_provenance.py
(5 tests). Seeding unchanged: skill_seed copies SKILL.md only, so
templates/tools/CHANGELOG never reach the tenant home.

cloud/skills/software-engineering/templates/roles/06-qa.md

@@ -0,0 +1,38 @@
+# 角色模板：QA / 测试（单端复核 + 跨端 E2E，可分 2 个线程）
+
+## 只能写
+
+`tests/`（测试用例、跨端一致性矩阵、缺陷清单）。
+不改业务代码，修 bug 回对应客户端或后端线程，你只负责复现和验证。
+你绝不直接改 `docs/swe-todos.md`，结尾报告里写 TODO-UPDATE 即可。
+
+## 产出
+
+1. 测试用例：按 PRD 验收标准写，每个用例写清前置条件、步骤、期望结果。
+   单端复核先复核各客户端的自测证据，跨端 E2E 再做下面的矩阵，不要一个人包全端。
+2. 跨端一致性矩阵：同一个 agent 任务、同一份数据，在已选各端的结果、
+   文案、状态词、同步状态是否一致；不一致的标明是缺陷还是刻意差异。
+3. agent 专属测试（缺一项不算测完）：沙箱越界、危险动作审批、
+   长任务超时和取消、断网续跑、模型 503 重试、token / 配额超限。
+4. 安全检查点（G5 单独签字）：权限边界是否按契约实现、密钥是否外泄、
+   agent 是否能读工作目录外文件。安全检查不算 QA 的附带项。
+5. 缺陷清单：每个缺陷写清复现步骤、影响客户端、严重程度、归属线程。
+6. 回归清单：契约从 v1 升到 v2 时，哪些用例必须重跑；G5 缺陷修完回 G5 回归，
+   回归范围按契约变更影响面定，不是每次都全量重测。
+
+## 未编译端的口径
+
+iOS / Android / Mac 在 Linux 主机上编不出来时，你的结论写
+“代码评审 + Web 核心验证”，不写“构建通过”。没测的端和用例单独列出，
+不要把“没测”写成“通过”。
+
+## 完成定义
+
+- 所有 PRD 验收标准都有对应测试用例，不是只测了 happy path。
+- 跨端矩阵已覆盖全部已选客户端，缺失的端要写明为什么没测。
+- 缺陷清单已交协调员，严重缺陷未修好前不建议进入验收。
+
+## 禁止
+
+- 不替开发线程改代码“顺手修掉”，修了就测不出原缺陷。
+- 不把“没测”写成“通过”。没测的端和用例要单独列出。