epic: higiene 1.8.0 GA #3 sem arquivos de gate — .gitignore rc DBs (#2064), bash completion (#1952), inventário+bats seletivo (#1926 parte 2) #2065

Objetivo

Terceiro epic de higiene para o 1.8.0 GA, sem nenhum arquivo do tripwire (ADR-0071): não toca .github/workflows/ nem os 21 arquivos de gate, então não exige Gate-Change-Approved-By. Uma PR, commits separados por item (ADR 0092). Verificado contra origin/main (3650d230) em 2026-10-11.

Itens

• chore(gitignore): benchmark RC v2/v3 grava audit_results_rc_v{2,3}.db na raiz e o .gitignore não cobre — árvore suja trava o selo de gate #2064 .gitignore não cobre audit_results_rc_v2.db nem audit_results_rc_v3.db, gravados na raiz por tests/config/benchmark-rc-v{2,3}.yaml. Acrescentar as linhas e, se couber, um teste que fixa que todo sqlite_path relativo de tests/config/benchmark-*.yaml está coberto. Closes #2064
• [P3][docs] Add deterministic Bash completion for published CLIs #1952 completion de Bash determinística para os 8 CLIs publicados (data-boar, -report, -xlsx, -pdf, -docx, -heatmap, -dsar, -audit), derivada da superfície real ([project.scripts], argparse/Click, docs/data_boar.1/.5), sem recriar os man pages nem um caminho de instalação paralelo. Teste/checagem determinística que falha quando um entry point ou flag documentado muda sem atualizar o inventário da completion (alinhar com [P3][ci][docs] Anti-drift CLI(argparse)↔docs + paridade i18n por sufixo .pt_BR.md (origem: análise Gemini) #1448). Sem dependência nova. Docs EN + pt_BR. Closes #1952 só se o aceite for cumprido.
• chore: shellcheck em CI + bats hermético seletivo pros 65 scripts bash do repo (zero cobertura hoje) #1926 (parte 2, parcial) o job de shellcheck já existe (error). Falta: inventário concreto dos .sh que justificam bats (critério explícito: branching real ou orquestração de subprocesso), docs/plans/PLAN_SHELL_SCRIPT_HARDENING.md (+ pt_BR, <!-- plans-hub-summary -->, plans_hub_sync.py --write) e bats hermético seletivo para esses scripts, integrado ao scripts/check-all.sh como etapa opcional (pula com aviso se bats não estiver instalado; não criar dependência local dura). Não adicionar job de bats ao CI: isso altera ci.yml (arquivo de gate) e fica para um epic com atestação. Refs #1926 (não Closes).

Fora do escopo

• Job de bats no CI (arquivo de gate, precisa de atestação do operador).
• licensing: âncora ML-DSA embutida ausente e híbrido ainda opcional no guard (canon: Ed25519 + ML-DSA obrigatório) #2042 / licensing: emissor de licença de dev (issue_dev_license_jwt.py) não emite ML-DSA — quebra o Maestro quando o híbrido for obrigatório #2043 (licença híbrida Ed25519 + ML-DSA): epic próprio, depende de decisão do operador sobre a compatibilidade.

Regras

Commits assinados (SSH), Refs #N nos commits e Closes #N só na PR, merge com --merge (nunca squash). Nada de Co-authored-by. Nenhum push/PR sem go explícito do operador.