fix(review): address review findings (guardrails, prompts, tests, docs)

- permission-gate: block refs/tags/v* pushes, rm -r -f separated flags,
  git reset --hard, git clean (verified against actual bypasses)
- prompts: /bugfix /feature /review no longer hardcode go-standards —
  reference profile-gated <lang>-standards instead
- company-context: drop hardcoded Go stack, note TRACKER_URL priority,
  warn on context truncation instead of silently dropping rules
- repo-map/docs-map: graceful degradation when config values are TODO
- /kit-doctor: warn on unfilled config fields (repoMap/trackerUrl/docsUrl)
- audit: retry POSTs to endpoint (3 attempts, backoff), still best-effort
- install.sh: remove TODO course URL from cheat sheet
- tests: expand guardrails (43 node checks), add shell tests for create-mr.sh
  (scp/https origin parse, GITLAB_HOST override, protected branch refusal),
  cover company-context lib (normalize/fetch/truncation) and mcp-bridge
- commit package-lock.json for reproducible installs
- document npm test Node >= 22.6 requirement (type stripping)

CHANGELOG.md

@@ -4,6 +4,26 @@
 
 ## [Unreleased]
 
+### Fixed
+- permission-gate: закрыты обходы — push тега через `refs/tags/v*`/`tags/v*`, раздельные
+  флаги `rm -r -f`; добавлены `git reset --hard` и `git clean`.
+- Промпты `/bugfix /feature /review` больше не ссылаются жёстко на `go-standards` — теперь
+  ссылаются на языковой стандарт по профилю (`<lang>-standards`).
+- `company-context.md`: убран хардкод «основной стек — Go»; зафиксирован приоритет
+  `TRACKER_URL` (env) над `trackerUrl` (config).
+- Обрезка корпоративного контекста (лимит строк) теперь предупреждает вместо тихой потери правил.
+- Убраны TODO-значения из вывода install.sh; `/kit-doctor` предупреждает о незаполненных
+  полях конфига (repoMap/trackerUrl/docsUrl).
+- Пример конфига в README приведён в соответствие с реальным `config/company.json`.
+
+### Added
+- Тесты: company-context (normalize/fetch/truncation), mcp-bridge (disabled-путь),
+  табличные кейсы permission-gate, shell-тест `create-mr.sh` (парсинг remote, dry-run).
+- `package-lock.json` закоммичен (воспроизводимая установка).
+- Audit-endpoint: повторные попытки POST (до 3, с backoff), по-прежнему best-effort.
+- Явная проверка версии Node в тестах: `npm test` требует ≥ 22.6 (type-stripping),
+  документировано в README/RELEASING.
+
 ## [0.2.1] — 2026-07-16
 
 ### Fixed