fix: align A2A v1 semantics and repository tooling

[liujuanjuan1984]

背景与目标

本 PR 处理 #520 中仍然有效、且可在仓库内落地的事项：纠正三项 A2A 1.0 协议语义偏差，恢复并固化 conformance 工具链，收敛核心能力文档及 Python 支持边界，并补齐开源贡献入口与运行时可观测性。实现不依赖外部 A2A TCK，也不改动 org/repository 治理或发布权限。

主要变更

A2A 1.0 协议语义

• 在执行前统一校验 SendMessage / SendStreamingMessage 的必需消息字段；空消息分别返回 JSON-RPC -32602 和 REST 400 INVALID_ARGUMENT
• push notification config 使用 A2A 1.0 专用错误：JSON-RPC -32003、REST 400、PUSH_NOTIFICATION_NOT_SUPPORTED
• 终态任务的 SubscribeToTask 在两种 transport 上均返回 UnsupportedOperationError
• 明确区分 A2A 核心语义与项目自定义增强：终态订阅拒绝不再被重复发布为自定义 service behavior

Conformance 与工程卫生

• 用仓库自持的 8 项黑盒兼容性探针替换已经失效的外部 TCK 绑定；不下载、不固定、也不声明第三方认证
• 对外部 URL 执行探针时要求显式设置 CONFORMANCE_ALLOW_EXTERNAL=1，并注明只能针对专用测试部署运行
• 本地模式启动前检查端口占用，避免误测已存在的服务
• 新增 conformance 入口端到端回归测试，固化 8/8 探针执行路径
• 从 SDK dispatcher 的同一来源生成 OpenAPI 核心 JSON-RPC 方法说明，并同步兼容性、使用和安全文档
• 将 Python 3.14 纳入支持分类与 CI，移除测试中的 SDK EventQueue 弃用告警
• 新增英文 issue forms、PR 模板和默认启用但必须认证的 Prometheus /metrics 端点；仓库内源码、脚本与模板消息统一使用英文
• 将安全问题入口指向仓库 SECURITY.md，避免依赖未必启用的 private vulnerability reporting 页面

Issue 关系与范围

• Closes [Priority: High] [Quality] 收敛 A2A 1.0 契约、验证工具链与开源工程卫生 #520：其仓库内验收项均已实现并验证
• Related: [Priority: Med] [Enhancement] 明确 push config persistence 与能力恢复的分层方案 #451：push webhook 能力与配置持久化仍由该 issue 跟进，本 PR 不关闭
• Related: 升级 a2a-sdk 至 1.1.3 并审计下游兼容层 #515：等待 a2a-sdk 1.1.3 可从 PyPI 获得后再升级，本 PR 不关闭
• Related: [Priority: Low] [Enhancement] 明确 Python API facade 导出契约 #519：低层 Python facade 不属于本 PR 范围，本 PR 不关闭
• 历史背景：[Priority: High] [Quality] 接入 A2A Inspector / TCK 外部兼容性验证 #370、评估当前工程质量与设计实现风险 #491；两者已经关闭，本 PR 不改变其状态

验证

• ./scripts/doctor.sh：通过
  • Python 3.14.6
  • 826 tests passed
  • 总覆盖率 93.33%
  • pre-commit、mypy、coverage policy、构建及 wheel/sdist smoke 全部通过
• conformance 端到端回归测试：8/8 probes passed
• 仓库级 CJK 扫描：源码、脚本、文档及 GitHub 模板未发现中文消息文本