ci: fix Identity Guard trigger — it was never actually running

上一版给 push 只写了 tags-ignore: ['**']，本意是让发布 tag 不再触发一次
重复的全量审计。但 GitHub 的过滤规则是"只给了 tag 过滤器，就只在 tag 上跑"，
因此这条配置的真实含义变成"只跑 tag，但忽略所有 tag" —— 工作流一次都不会触发。

症状很有迷惑性：工作流在 API 里状态是 active、名字也正常显示，
只是 runs 数恒为 0，同一次推送里 CI 和 Preview 都正常跑。
改为 branches: ['**']，覆盖全部分支且天然排除 tag，达到原本的意图。

教训记一句：光看"工作流已注册/active"不能算验证，必须确认它真的产生了 run。

.github/workflows/identity-guard.yaml

@@ -6,7 +6,10 @@ name: Identity Guard
 
 on:
   push:
-    tags-ignore: ['**']
+    # 'branches: [**]' 覆盖所有分支且天然排除 tag。
+    # 注意不能写成只有 tags-ignore：GitHub 的规则是"只给了 tag 过滤器就只跑 tag"，
+    # 于是 tags-ignore: ['**'] 等于"只跑 tag，但忽略所有 tag" —— 工作流永不触发。
+    branches: ['**']
   pull_request:
   workflow_dispatch: