CLI: hammer bootstrap stage0 + limpieza de staging y e2e

Cablea el Stage 0 del bootstrap a la CLI: subcomando `bootstrap stage0
--url --sha256 --version [--seed zig|musl-cross-make]` que abre el store,
arma el SeedSpec y llama a hammer_bootstrap::stage0, imprimiendo el b3 del
artefacto sellado.

- stage0 ahora limpia el staging `.bootstrap-tmp` pase lo que pase (extraído
  stage0_into): un sha256 erróneo ya no deja el tarball a medio descargar bajo
  el store. Test reforzado para afirmarlo.
- e2e de CLL `bootstrap_cli.rs`: tarball falso vía file:// → sella + imprime
  hash, idempotente, sha erróneo falla sin sellar. Sin red.

Docs SDD 11 §5 y roadmap marcan Stage 0 (lib+CLI) hecho; Stage 1/2 pendientes.
Workspace 219 verde.

Co-Authored-By: Claude Opus 4.8 (1M context) <noreply@anthropic.com>

Cargo.lock

@@ -454,11 +454,14 @@ dependencies = [
  "base64",
  "clap",
  "hammer-agent",
+ "hammer-bootstrap",
  "hammer-build",
  "hammer-core",
  "hammer-journal",
  "hammer-overlay",
+ "hex",
  "serde_json",
+ "sha2",
  "tempfile",
  "tracing",
  "tracing-subscriber",