fix(api): 修复自动墙检父节点筛选与启用语义

统一自动墙检查询逻辑，兼容 parent_id 为 null 或 0 的父节点
将 gfw_check_enabled 的空值视为开启，避免页面显示已启用却未入队

同时调整管理端自动墙检统计仅计算父节点
并更新 CI 配置以忽略 .helloagents 变更触发后端发布

.helloagents/modules/ci-workflows.md

@@ -0,0 +1,21 @@
+# ci-workflows
+
+## 职责
+
+- 维护 GitHub Actions 镜像发布工作流的触发边界
+- 区分 Laravel 后端镜像与 `admin-frontend` 独立静态镜像的构建发布链路
+- 记录不参与镜像构建的协作元数据路径，避免无意义触发 Docker 发布任务
+
+## 行为规范
+
+- 后端镜像发布工作流位于 `.github/workflows/docker-publish.yml`，名称为 `Backend Docker Build and Publish`
+- 后端 workflow 在 `master` 和 `new-dev` 分支 push 时触发，并保留 `workflow_dispatch` 手动触发入口
+- 后端 workflow 使用 `paths-ignore` 排除 `admin-frontend/**`、`.helloagents/**` 和 `.github/workflows/admin-frontend-docker-publish.yml`
+- GitHub Actions 的 `paths-ignore` 语义是：push 中所有变更路径都被 ignore 覆盖时跳过 workflow；只要混有未被 ignore 的后端相关路径，后端 workflow 仍会运行
+- 管理端前端镜像发布工作流位于 `.github/workflows/admin-frontend-docker-publish.yml`，只关注 `admin-frontend/**` 和自身 workflow 变更
+
+## 依赖关系
+
+- 依赖 GitHub Actions 的 `paths-ignore` 过滤行为
+- 依赖 GHCR 作为镜像发布目标
+- 依赖 `.helloagents/**` 仅作为知识库、方案包、归档和协作记录，不作为后端镜像构建输入