docs(security): add ref truth classification [skip ci]

scripts/security/source-control-reconcile-plan.py

@@ -180,6 +180,8 @@ def write_markdown(plan: dict[str, Any], path: Path) -> None:
         "",
         "這份文件只是 refs reconcile 草案，不是同步腳本，也不授權任何 GitHub primary 切換。AwoooP 可以 mirror 成 approval candidate，但不得執行 board item 或呼叫任何 push / sync 工具。",
         "",
+        "若已存在 `source_control_ref_truth_classification_v1`，請把它視為本 plan 的人工 review lane 補充：分類結果只協助 repo owner 判定，不授權同步或刪除。",
+        "",
         "## 1. Repo 差異摘要",
         "",
         "| Repo | Risk | Gitea branches | GitHub branches | Gitea tags | GitHub tags | Gitea main | GitHub main |",
@@ -240,6 +242,7 @@ def write_markdown(plan: dict[str, Any], path: Path) -> None:
             "2. 只顯示 `draft_blocked` 與 blocking reason。",
             "3. 可產生 approval candidate，但不得自動批准。",
             "4. 不得新增 execution action button。",
+            "5. 真相來源分類請讀 `docs/security/SOURCE-CONTROL-REF-TRUTH-CLASSIFICATION.md`，並維持單 repo / 單 ref 人工 gate。",
             "",
         ]
     )