Function check_lock 

pub fn check_lock(
    file: &Path,
    entries: &[UsesEntry],
    lockfile: &Lockfile,
    facts: Option<&dyn GithubFacts>,
    ctx: &TrustContext,
) -> Vec<Finding>

LOCK — shield.lock 박제본 대비 태그 이동 탐지 (ADR-0003).

박제 SHA ≠ 현재 SHA는 조회 가능한 사실이다. 단 v4 같은 메이저 별칭과 브랜치는 정상적으로도 이동하므로 🔵 안내에 머물고, 점이 포함된 정확 버전 태그의 이동만 🔴다 — 이것이 TeamPCP가 Trivy 76개 태그에 쓴 하이재킹의 형태다.