guide: add rule #45 — set up commit signing for repos that require it

From vercel/ai#15584 lesson: PR superseded partly due to unsigned
commits. One-time setup cost, every PR benefits.

Author: kagura-agent

guide.md

@@ -194,4 +194,6 @@ PR 被维护者 supersede（关闭后自己重写）是最大的时间浪费。
 
 42. **Cross-verify PR coverage — gogetajob sync is not exhaustive** — qwen-code#4474 教训：3 个 PR 有 CHANGES_REQUESTED 连续多天未处理，因为 qwen-code 不在 gogetajob 关注列表里，sync 完全看不到。followup 只靠 gogetajob sync 一个数据源 = 单点故障。修法：每轮 followup 在 gogetajob sync 之后，用 `gh search prs --author=kagura-agent --state=open` 查全量 open PR 交叉验证。发现不在 sync 里的 → 立即 `gogetajob scan` 加入关注列表。原则：**提了 PR 的 repo 必须在关注列表里**，否则后续 followup 全盲。
 
+45. **Set up commit signing before contributing to repos that require it** — vercel/ai#15584 教训：PR 被 #15587 supersede，部分原因是 commits 没有 GPG/SSH 签名（GitHub 显示 "Unverified"），另一个贡献者的 PR 有签名且范围更窄。部分大型 repo（vercel/ai、许多企业开源项目）优先 merge signed commits 的 PR。原则：**提 PR 前检查 repo 最近 merged PR 的 commit 是否有 "Verified" 标志**。如果有：(1) 确认本地 git 已配置签名：`git config --global commit.gpgsign` 应为 true (2) 没有的话配置 GPG 或 SSH 签名：`git config --global commit.gpgsign true && git config --global gpg.format ssh && git config --global user.signingkey ~/.ssh/id_ed25519`（SSH 方式最简单）(3) 已有 unsigned commits 的 PR 可以 `git rebase --exec 'git commit --amend --no-edit -S' HEAD~N` 批量补签名 (4) 把 public key 上传到 GitHub Settings → SSH and GPG keys → Signing Keys。判断方法：如果竞争 PR 的 commits 有 Verified badge 而你的没有，maintainer 可能倾向选对方。推广：commit signing 是一次性设置成本，但每个 PR 都受益——做一次就够了
+
 44. **Resolve CHANGES_REQUESTED before opening new PRs in same repo** — qwen-code#4456/#4474/#4461 教训：同 repo 3+ PRs 同时处于 CHANGES_REQUESTED 状态，每轮 followup 列出来但多天未 push 修复（认知过载 + 维护者印象差——看到你不断开新 PR 但旧 PR 的 review feedback 一直不处理）。原则：**同一个 repo 有未处理的 CHANGES_REQUESTED → 先修再开新 PR**。流程：(1) 开工前 `gh search prs --author=kagura-agent --state=open --repo OWNER/REPO --review=changes_requested` 检查该 repo 是否有待处理 review (2) 有 → 本轮优先 push fix，不开新 PR (3) 修完后 re-request review (4) 只有该 repo 所有 CHANGES_REQUESTED 都处理完（push 了新 commit 或确认无需改动并回复 reviewer），才能开新 PR。判断方法：如果同 repo ≥2 个 PR 同时 CHANGES_REQUESTED 且都超过 48h 未处理，这已经是维护者信任危机——每多拖一天，后续 PR 被认真 review 的概率都在下降。推广：维护者视角看你的 PR 列表是你的「信用报告」——一堆未回应的 review = 不靠谱的贡献者。清理存量 review debt 的 ROI 远高于开新 PR