Guest 构建链：从固定输入到 Go 加载

先看两个位置：准备脚本和编译器跑在 Linux，生成物的目标是 Wasm。工具所在的平台，和 Go 运行 Guest 时的 Host、Guest 边界，是两层概念。先确认这一点，后面才不会把构建成功误读成运行成功。

第一步准备固定输入：锁文件给出版本、来源和摘要，脚本按它下载并校验。随后准备 CPython 的头文件和静态库；这些输入变化较少，后面的 Guest 重建可以复用。这一步服务于后续构建，用户程序还没有进入流程。

输入齐后，先编译本项目的 C bridge，再把已经准备好的 CPython 静态库和支持库链接起来。C 编译器负责把 C 源码变成目标代码，链接器负责把库中的实现接到一起；这一层得到还没装入 Python 文件的 Wasm 中间产物，主体库不必每次从头编译。

接着复制标准库和项目脚本，用虚拟文件系统工具把它们嵌入产物。这里是在准备 Guest 运行时要读取的文件，用户程序留到运行阶段由 Guest 的 Python 处理。嵌入后，Guest 可以在自己的文件系统里找到这些模块。

打包后的临时文件先做格式检查，成功后才移动成正式 artifact；失败不会直接替换旧文件。脚本把临时产物和正式产物分开，失败时旧文件仍可能存在，所以要看退出状态。下一步才进入 Go 的加载流程。

运行时，Go Host 用 wazero 加载 Wasm，Guest 里的 CPython 再处理用户 Python；运行时输入只影响这一轮执行，改例子通常不用回到构建层。改 Go 就重新编译 Host；改 Guest 的 C 或 Python 文件要重建 Guest；工具链输入变化，再从准备层开始。格式校验只说明模块合规，真实 demo 还要单独验证。