docs(security): add approval review packet contract [skip ci]

docs/security/SECURITY-SUPPLY-CHAIN-CONTRACT-MANIFEST.md

@@ -11,7 +11,7 @@
 
 ## 0. 核心結論
 
-目前 Security Supply Chain 已有 29 個主要契約可交給 AwoooP 消費。Manifest 的用途是把分散的 schema、snapshot、人讀文件、允許動作與禁止動作收成一份入口，避免不同 Session 各自解讀。
+目前 Security Supply Chain 已有 30 個主要契約可交給 AwoooP 消費。Manifest 的用途是把分散的 schema、snapshot、人讀文件、允許動作與禁止動作收成一份入口，避免不同 Session 各自解讀。
 
 初期預設仍是 `mirror_only`。Manifest 不授權 runtime enforcement、不授權 GitHub/Gitea 主控切換、不授權 repo 建立或 refs sync。
 
@@ -26,6 +26,7 @@
 | `security_approval_queue_v1` | approval-only | AwoooP 可 mirror 的 Security Supply Chain approval queue | `security-approval-queue.snapshot.json` |
 | `security_approval_gate_v1` | approval-only | S3 人工批准 gate 與 follow-up runtime gate 邊界 | `security-approval-gate.snapshot.json` |
 | `security_approval_decision_record_v1` | approval-only | S3 人工決策稽核紀錄 | `security-approval-decision-record.snapshot.json` |
+| `security_approval_review_packet_v1` | approval-only | S3 人工審查封包與 review lane | `security-approval-review-packet.snapshot.json` |
 | `security_mirror_readiness_v1` | mirror-only | AwoooP mirror/read-only readiness index | `security-mirror-readiness.snapshot.json` |
 | `security_mirror_intake_plan_v1` | mirror-only | AwoooP mirror-only intake waves 與 acceptance gates | `security-mirror-intake-plan.snapshot.json` |
 | `security_mirror_event_v1` | mirror-only | AwoooP mirror event envelope | `security-mirror-event-sample.snapshot.json` |
@@ -54,7 +55,7 @@
 1. 先讀 `security_rollout_policy_v1`，確認目前仍是 `mirror_only`。
 2. 再讀本 manifest，取得可消費 contract 與禁止動作。
 3. 將 snapshot mirror 成 Runtime State / Channel Event / Audit evidence。
-4. 只對 `approval_required_event_v1` 與 repo approval package 建 approval candidate。
+4. 只對 `approval_required_event_v1`、repo approval package 與 `security_approval_review_packet_v1` 建 approval candidate / review lane。
 5. 不新增執行按鈕，不做 runtime enforcement。
 
 ## 3. 永久禁止