在等待维护者批准之前,对社区 PR 进行安全检查

在 fork PR 中，CI 只有在维护者批准运行后才会启动（仓库策略：`all_external_contributors`）。贡献者要等待数小时或数天才能了解他们缺少变更日志条目或有 PHPCS 错误。批准设置是仓库级的，因此我们无法信任 `ci.yml` 中的单个作业。建议：添加一个小型的 `pull_request_target` 工作流（这些工作流不需要批准），永远不会执行 PR 代码。它使用主干的检出、工具和配置，仅以数据的形式读取 PR 的文件，并具有只读令牌且没有秘密。