approve-visual-dry-run 当前必须保持 blocked-by-policy，不能记录最终批准。
POST 接口必须携带 dryRun=true 和 writeDisabled=true。
approve-visual-dry-run 必须校验 sourceEvidenceSha256；该哈希必须等于人工确认记录里的源图片哈希。
所有动作都必须保持 committed=false、finalApprovalRecorded=false、approvalEvidenceWritten=false、registryPromotionAllowed=false。
request-redraw、request-compliance-review、reject 也只是协议预览，不得触发工单、BBS 或地图状态变更。
当前筛选范围输出 0 个图片人工确认动作协议，0 个可做 dry-run 输入校验。
Action Dry-run 只校验输入、角色和阻断策略，不持久化确认状态。
当前有 0 个动作绑定本地生成源图证据；sourceEvidence 只作为图片上下文，不等同于审批证据 URI。
未来接入真实审批前，需要将该协议接入登录、MFA、证据 URI、审计日志和回滚机制。
当前筛选没有 BBS Gap 图片确认动作协议 dry-run。