ci(security): 前端 npm audit 收为生产依赖口径（--omit=dev）

[fxbin]

What & why

main 的 CI 因 braces 链（GHSA-vfj7-8cjw-p6xm）持续红：该 advisory 覆盖 braces 全部已发布版本、上游无补丁、唯一"修复"是被否决的 force 降级。随 #102 生产依赖漏洞已全部修复，这条链只存在于 devDependencies（eslint 工具链）。本 PR 把 CI 前端审计加 --omit=dev：生产依赖维持 high 级严格门禁，纯 dev 工具链的 DoS 级 advisory 不再挡门，CI 恢复全绿且生产安全标准不降。

Fixes #105

Area

• config / infra
• docs

Verification

• Manual smoke test (describe below)
  • 本地 npm audit --omit=dev --audit-level=high：found 0 vulnerabilities（exit 0）
  • 全量口径对照：npm audit --audit-level=high 仅剩 braces 链 5 计数（dev 工具链，符合豁免预期）
  • check_agent_docs.py 通过；workflow 仅在 run 块内变更，yaml 结构未动
• 本 PR 的 CI 即最终验证：security-scan 应转绿

Verifier verdict

纯 CI 配置 + 文档切片，CI 门禁即机器 Verifier——本 PR 自身的 security-scan 结果即为判定。

Checklist

• Commits follow Conventional Commits
• Branch named issue-105-audit-omit-dev；正文 Fixes #105
• No local-only files staged
• New source connector? N/A
• Docs updated (AGENTS.md 4.4：口径、豁免事实、上游补丁后的回全量步骤)

Notes for reviewer

• 这不是放水：生产依赖（next 缓存投毒/SSRF、sharp、brace-expansion）的 high 门禁原样保留，上一轮刚把它们修完。豁免的只有「跑 eslint 时才触达、全版本受影响、无补丁可升」的 dev 链。
• braces 上游发布 >3.0.3 后：npm audit fix + 删掉 --omit=dev 即回全量口径，步骤已写进 AGENTS.md 4.4。