机器可读登记与完整性

snapshots/bootstrap-20260929/files.jsonl.gz：逐文件 UTF-8 JSONL，gzip 压缩；原科学树的 SHA-256、bytes、mtime_ns、mode 或 symlink target。
snapshots/bootstrap-20260929/summary.json：范围、排除项、分组逻辑大小和清单自身 SHA-256。
catalog-20260929/stages.json：27 个阶段证据索引。
catalog-20260929/evidence/：373 份小型原始报告/配置/审计的字节一致副本；原文件仍在 experiments。
catalog-20260929/evidence-index.json：每份副本的原路径与 SHA-256。
catalog-20260929/external-resources.lock.json：4 个外部仓库 commit/origin/许可证证据。
catalog-20260929/source-citations.json：从项目源码和文档抽出的 URL/DOI 候选及来源哈希；不是自动有效性判定。
catalog-20260929/environment.json：当前环境版本快照。
bootstrap-verification.json：本次仓库整理后的全量科学文件复核结果。

快照不包含虚拟环境、缓存和外部 .git；详情始终以 summary 中排除项为准。校验包含路径集合检查，发现丢失/新增也报告；不修改被校验文件。新快照必须使用新目录，不覆盖旧 snapshot。目录/清单不包含服务器密码或 SSH 私钥。

这些文件是索引，不是数据内容；不能从 SHA-256 反推出原文件。