fix(strix): use target token for cross-repo dispatch PR scoping

[seonghobae]

Problem

A default-branch repository_dispatch Strix retry for ContextualWisdomLab/codec-carver#250 now installs Strix successfully after #570, but the scan exits before execution:

ERROR: STRIX_TARGET_PATH=__PR_SCOPE__ requires PR scoping.

Evidence: https://github.com/ContextualWisdomLab/.github/actions/runs/29517123708

The workflow validates and fetches the external PR with steps.target_app_token.outputs.token, but the Run Strix (quick) environment sets GH_TOKEN to github.token. On a dispatch in ContextualWisdomLab/.github, that token cannot scope ContextualWisdomLab/codec-carver#250. The follow-up commit-status publication also receives HTTP 403 (Resource not accessible by integration).

Required change

• Use the exchanged target-app token (with safe fallbacks) for PR-scoping reads during cross-repository repository_dispatch.
• Preserve the same-repository required-workflow behavior.
• Cover the dispatch token selection and status-publication contract with tests.
• Re-run the exact codec-carver PR [codex] Record autofix guard rollout #250 base/head tuple and prove the scanner enters actual analysis.

Completion evidence

• Shell/Python workflow tests pass.
• actionlint passes.
• A fresh default-branch dispatch for codec-carver#250 no longer emits requires PR scoping.
• Current-head status publication succeeds or reports an explicitly separated permissions blocker.

[seonghobae]

현재 헤드 49c09e4c091a35637ba4c4e2cb1246ea0c004ad0에서 추가 실증했습니다.

• 비-Strix 로컬 검증: 전체 pytest 631 passed, 관련 테스트 151 passed, Ruff 통과, Strix 성공 경로 스모크 종료 코드 0, CodeGraph 동기화 완료
• 비활성화되어 있던 Required PR Review Merge Scheduler와 Required Noema Review를 다시 활성화하여 scan-pr-queue, noema-review 필수 컨텍스트가 현재 헤드에 실제 보고됨
• 스케줄러가 pull_request_target의 스킵된 OpenCode 잡을 다시 실행해 계속 스킵시키던 결함을 수정하고 기본 브랜치 repository_dispatch만 사용하도록 회귀 테스트 추가
• 기준 브랜치 Strix 실행 29519418922와 수동 증거 실행 29519472866 모두 수정 전 워크플로를 사용해 STRIX_EXECUTABLE_PATH must not be group/world writable로 실패
• 수동 상태 게시도 target-app-token에서 Resource not accessible by integration (HTTP 403)을 재현하여 별도 #575로 분리

현재 PR은 자기 자신이 수정하는 trusted workflow가 병합 전에는 기준 브랜치 사본으로 실행되는 교착 상태입니다. 성공 상태 위조나 보호 규칙 완화 없이 현재 정책에서 병합할 수 있는 경로는 확인되지 않았습니다.