[archtest] TLS-TEST-MATERIAL-FUNNEL-01 在 develop 报红（#2461 deviceidentity 铸证未入 sanctioned，nightly-only）

[ghbvf]

现状（证据）

archtest TLS-TEST-MATERIAL-FUNNEL-01（tools/archtest/tls_test_material_funnel_test.go）在当前 origin/develop 上 FAIL，flag 以下未在 sanctioned 集（tlsutiltest / certsigning·certlifecycle pipeline tests / adapters/softca）的 crypto/x509.CreateCertificate 调用：

• cellmodules/deviceidentity/mtls.go:99
• cellmodules/deviceidentity/pkcs7_test.go:29
• cellmodules/deviceidentity/service_test.go:106

这些文件 last-touched commit = 043add59b feat(deviceidentity): #1904 EST 签发前端(enroll/renew/cacerts) (#2461)。

• 根因：feat(deviceidentity): #1904 EST 签发前端(enroll/renew/cacerts) + explicit-subject PDP 复用桥 [1895 PR-8b] #2461 引入 deviceidentity 证书铸造路径，未加入 TLS-TEST-MATERIAL-FUNNEL-01 sanctioned 集 / 未迁到 tlsutiltest。该 archtest 是 nightly-only（governance.yml 把 archtest 排除出 PR matrix，仅 archtest-nightly.yml 跑全套），故 feat(deviceidentity): #1904 EST 签发前端(enroll/renew/cacerts) + explicit-subject PDP 复用桥 [1895 PR-8b] #2461 PR-time 未被拦截。

影响

origin/develop 的 nightly archtest（TLS-TEST-MATERIAL-FUNNEL-01）红。与 PR #2495 无关（#2495 不触碰 deviceidentity/TLS；git diff origin/develop...HEAD 不含这些文件），但 #2495 rebase 到 develop 后本地 broad archtest 复现到该 inherited 失败，故登记。

修复方向

• minimal：若 deviceidentity 铸证合法，将其加入 funnel sanctioned allowlist（function-level carve-out + ADR registry 同步，见 error-handling.md §Carve-out）。
• thorough：deviceidentity 测试材料改用 framework/runtime/http/tlsutil/tlsutiltest；生产铸证走 certsigning/certlifecycle pipeline 或 adapters/softca。
• 复核：feat(deviceidentity): #1904 EST 签发前端(enroll/renew/cacerts) + explicit-subject PDP 复用桥 [1895 PR-8b] #2461 合入流程应在同 PR 同步本 archtest（nightly-gate 漏网说明 PR-time 覆盖缺口）。

Files

• cellmodules/deviceidentity/mtls.go:99
• cellmodules/deviceidentity/pkcs7_test.go:29
• cellmodules/deviceidentity/service_test.go:106
• tools/archtest/tls_test_material_funnel_test.go

Source

Discovered via /ship #2482（rebase 到 develop 后 broad archtest 复现；inherited 自 #2461，非本 PR 引入）。