加固 GitHub Actions

用于解决 zizmor 警告、加固 CI 流水线及将 Actions 固定到 SHA。涵盖权限管理、密钥安全、漏洞扫描器调度及工具链版本维护。