建立 Go Task Scheduler 协议骨架

docs/runner-protocol-roadmap.md

@@ -29,6 +29,8 @@ dynamic-runner scheduler
 - 每个 executor 只执行一个 task，完成后销毁。
 - SPIFFE 身份从实际领取的 task 的 repository 和 job name 派生，不需要 queued 与
   in-progress webhook 的二阶段关联。
+- scheduler 只做确定性的身份派生与 executor 绑定，不维护业务授权 policy；Zot、
+  OpenBao 等资源服务继续是唯一授权决策点。
 - scheduler 的 runner registration credential 不进入 executor；executor 只得到执行
   当前 task 所需的短期 lease/capability。
 - task ACK、心跳和结果必须能够跨 scheduler 重启恢复；NATS 可以继续作为内部 handoff，