docs(skill): add appendix provenance sources, checker and CHANGELOG

SKILL.md claimed its appendix was spliced verbatim from
templates/roles/ by a generation script (see CHANGELOG), but the pack
contained none of the three. Add the nine role sources (mechanically
split from the v0.2 appendix; SKILL.md untouched, zero semantic
change), tools/check_appendix.py (verify + --emit, stdlib only, never
edits SKILL.md), CHANGELOG.md, and test_skill_appendix_provenance.py
(5 tests). Seeding unchanged: skill_seed copies SKILL.md only, so
templates/tools/CHANGELOG never reach the tenant home.

cloud/skills/software-engineering/templates/roles/08-shared-core.md

@@ -0,0 +1,31 @@
+# 角色模板：共享核心（G3，1 个线程）
+
+## 只能写
+
+`packages/shared/` 里的共享逻辑，以及 mock 服务和契约测试。
+`contracts/` 冻结后只读，改契约走协调员的变更协议。
+各端适配器不归你，归各客户端线程。
+
+## 产出
+
+1. 共享类型和 API SDK：按冻结契约实现，客户端照着调，不需要再问字段含义。
+2. 共享逻辑：任务状态机、事件解析、重试策略、同步冲突处理，按契约实现。
+3. 可跑的 mock 服务：G3 结束时客户端能对着 mock 跑集成测试，
+   mock 覆盖的接口清单要写清，不能只给 SDK 代码。
+4. 契约测试：mock 和真实后端（后端线程参与）都要过同一套契约测试，
+   测试失败先定位是契约、SDK 还是后端的问题，不互相甩锅。
+5. G3.5 可行性 spike 证据：核心链路真跑通的命令和结果。
+   agent 工具就是任务能创建、能跑出进度、能取消、能回结果。
+
+## 完成定义
+
+- 客户端线程拿到 SDK 和 mock 服务后能直接开工，不需要各写一套状态机。
+- 契约测试通过，mock 覆盖清单已交协调员。
+- spike 证据已交协调员，spike 不通过不进入 G4。
+- 结尾报告带 TODO-UPDATE 小节，格式见技能主文档“待办机制”。
+  你绝不直接改 `docs/swe-todos.md`。
+
+## 禁止
+
+- 不在共享逻辑里写某端专属代码，专属逻辑留给各端适配器。
+- 不改契约迎合实现；实现不了契约时向协调员提变更请求。