fix(ci): harden dependency audit and clarify workflow names

[liujuanjuan1984]

摘要

• 修复 dependency-health 中开发依赖审计失败问题
• 收敛 GitHub Actions workflow 的命名语义，并保留 PyPI Trusted Publisher 对发布 workflow 文件名的兼容性

相关提交

• 577a147 fix(ci): harden dependency audit and clarify workflow names
• 71a3a05 fix(ci): keep publish workflow filename stable for PyPI trust

模块变更

依赖审计

• 在 dev extra 中显式加入 pygments>=2.20.0,<3.0
• 更新 uv.lock，将 pygments 锁定到 2.20.0
• 恢复 scripts/dependency_health.sh 对开发依赖漏洞审计的通过状态

GitHub Actions Workflows

• 将 workflow 文件名调整为 validate.yml、dependency-review.yml，并保留发布 workflow 文件名为 publish.yml
• 将 workflow 展示名调整为更直接表达触发对象与职责边界的命名
• 为 job 与关键 step 增加更清晰一致的展示名称
• 不改变触发器、条件和执行逻辑

验证

• uv run bash ./scripts/dependency_health.sh
• ./scripts/doctor.sh

Issue 关联

• Closes [Bug] 修复 dependency-health 中 pygments 漏洞导致的依赖检查失败 #398
• Closes [Chore] 审查并收敛 GitHub Actions workflow 命名语义 #399

[liujuanjuan1984]

独立审查结果：

• 未发现阻塞性问题。
• 依赖修复实现合理：将 pygments>=2.20.0,<3.0 显式写入 dev extra，而不是仅刷新锁文件，能够把安全约束固定在仓库声明层，较稳健地解决 [Bug] 修复 dependency-health 中 pygments 漏洞导致的依赖检查失败 #398。
• workflow 命名调整实现合理：本次仅修改 workflow 文件名、展示名、job 名与 step 名，未改触发器、条件和执行逻辑，和 [Chore] 审查并收敛 GitHub Actions workflow 命名语义 #399 的目标一致，没有引入额外行为漂移。
• PR 标题与描述已复核并更新，当前标题采用英文 commit message 风格，描述按模块区分，并已关联相关提交与 issues。
• issue 关系复核结果：Closes #398 与 Closes #399 准确。

残余风险与注意点：

• workflow 文件改名会在 GitHub Actions 侧形成新的 workflow 条目与历史视图切分，但这属于可接受的非功能性影响；从当前仓库上下文看，没有发现依赖旧文件名的文档或自动化引用。

[liujuanjuan1984]

补充说明：

• 已按当前仓库发布约束，将发布 workflow 文件名从 release.yml 回退为 publish.yml
• 这样可以保留与现有 PyPI Trusted Publisher 配置的兼容性，避免额外修改 PyPI 侧 trusted publishing 设置
• 其余 workflow 命名语义优化保持不变，执行逻辑仍未变化