test: 钉住 deep_merge 的 None 替换与列表替换语义 + 只读约定注释

- characterization：显式 None 整体替换且兄弟键保留默认（Task 9 回退契约依赖）；列表整体替换不与默认拼接
- DEFAULT_CONFIG 与 TenantConfig.data/Site.brand 补只读约定注释
- platform 包依赖章程改明确：defaults/tenant_config 为叶子模块供 engine 反向消费，registry 组装层可 import app/engine

Co-Authored-By: Claude Code <noreply@anthropic.com>

app/platform/tenant_config.py

@@ -14,7 +14,8 @@ class Site:
     slug: str
     name: str
     domains: tuple[str, ...]
-    brand: dict                 # 站点门面覆盖层 ⊕ 租户默认 brand（已深合并）
+    brand: dict                 # 站点门面覆盖层 ⊕ 租户默认 brand（已深合并）。
+                                # 只读约定：构造后不得修改
 
 
 @dataclass(frozen=True)
@@ -22,7 +23,8 @@ class TenantConfig:
     slug: str
     name: str
     status: str                 # active | disabled
-    data: dict                  # deep_merge(DEFAULT_CONFIG, snapshot)
+    data: dict                  # deep_merge(DEFAULT_CONFIG, snapshot)。
+                                # 只读约定：构造后不得修改
     sites: tuple[Site, ...] = ()
 
     @classmethod