图片审批事务 Envelope Dry-run

把 reviewDigest、approvalDigest、visualDigest、imageSha256 和目标 Registry 资源位串成迁入事务信封。 当前只校验 envelope、writeSet、rollback 和 MCP queue 计划，不写正式清单、不发布地图、不排队 MCP。