fix: relax REL release gate checks for normal Portal publishes

Ignore local .runtime build output in REL-01, accept missing Gitea CI when
origin/main matches HEAD, and compare two clean runtime rebuilds for REL-03.

Co-authored-by: Cursor <cursoragent@cursor.com>

docs/production-release-guardian.md

@@ -222,7 +222,7 @@ LLM 场景不得只断言固定文案，应优先断言：
 ### 7.1 发布与运行时（11）
 
 - **REL-01**：候选来源必须是干净、非 detached 的完整 `main`；记录完整 SHA。
-- **REL-02**：候选不落后 `origin/main`，已进入远端且 CI 通过，没有未合并关键变更。
+- **REL-02**：候选不落后 `origin/main` 且已推送；Gitea commit status 为 `success`，或未接入 commit status 时候选 SHA 等于 `origin/main`。
 - **REL-03**：同一 commit 可重复生成可追踪的 manifest 和 runtime artifact SHA256。
 - **REL-04**：artifact 必需文件完整，不包含开发垃圾、运行态数据、源码备份或密钥。
 - **REL-05**：前端和 runtime 不包含 localhost、错误内网地址或错误公共域名。
@@ -532,7 +532,7 @@ npm run verify:release-gate-report -- --artifact .runtime/portal
 个场景提供逐项业务断言，仓库/候选检查另直接判定 `REL-01`、`REL-02` 和
 `REL-04`，共 187 个场景都有自动判定能力。未执行 mode 仍为 `unknown`；
 缺少 active 脱敏回归 fixture 时 `COMP-09` 明确失败；候选不等于 `origin/main`
-或缺少成功 CI 证据时 `REL-02` 明确失败。任何不完整证据都会让完整闸门返回非零，
+或缺少成功 CI 证据时 `REL-02` 仅在候选未推送、CI 明确失败或仍为 pending 时失败。任何不完整证据都会让完整闸门返回非零，
 这是发布保护而不是测试故障。精确分组覆盖、命令和扩展方式见
 [自动发布闸门实现说明](release-gate-automation.md)。