feat(agnet): SK repo_ref validation, create deployment UI, docs touch-ups

Extend agnet SK sources with repo_ref and snapshot display; add authenticated
deployment sheet + API types; cockpit toolbar entry; locale strings; minor docs.

Made-with: Cursor

docs/integration/agnet-platform-api-design.md

@@ -124,6 +124,10 @@ Tenant（租户）
 
 下列条款为 **Heicode 与 Agnet 联合落地时必须写清** 的契约；API 形状可与 `**POST /deployments`** 合一或拆为 `**POST /teams/deployments`** 等聚合端点，但 **语义不得缩水**。
 
+**启动参数与权限归属（与 Manager 的边界）**
+
+- **Agnet 在拉起编队 / 子 agent 运行时**（进程或等价隔离单元）须获得完整部署参数：`sk_sources`、`runtime_execution`、`sk_access_policy`、成员与模型声明等；**不得在缺少参数时静默放宽为越权默认**。
+- **权限与策略的可执行副本落在 Agnet**：Git 连接、`cloud_principal_refs`、SK 允许/拒绝边界由 Agnet 控制面 **落账并在运行时强制执行**；Heicode Manager **只负责发起部署请求并展示 Agnet 回传的快照锚点与观测字段**，**不是**运行时的权限裁决引擎。
 
 | 契约项                        | 要求                                                                                                                                                                                                                               |
 | -------------------------- | -------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------- |

docs/sk-lifecycle.md

@@ -120,8 +120,7 @@ Agnet 不需要、也不应该提供针对 SK 正文的 `PUT` / `PATCH`：写操
 - 团队成员列表与组织内角色
 - 各成员所用模型 / `provider_profile_id`
 - 子 agent 模板与 `sk_sources`
-- **用户在 Manager 配置的子 agent 云上 / 运行时权限**（如 `runtime_execution`：VM 池、云 principal、网络策略等），**必须随部署请求传给 Agnet**，不得在链路中丢弃
-- **SK 允许 / 禁止策略**（如 `sk_access_policy`），与快照合并后的生效边界须由平台落账，子 agent 仅能在该边界内消费 SK
+- **子 agent 云上 / 运行时权限等参数**（如 `runtime_execution`）与 **SK 允许 / 禁止策略**（如 `sk_access_policy`）须 **在 Agnet 拉起编队/运行时随部署请求传入**；**生效副本落在 Agnet**，由其运行时强制执行；Manager 仅透传配置并展示回传锚点，不作执行时代替
 
 部署完成后 Manager 应能展示：