fix(deps): 锁集三处非法约束改为合法，并把 crossconflict 检查接进 CI

[ReSerendipity]

Summary

• 锁集自相矛盾（与告警无关的独立缺陷）：两份清单里 tokenizers==0.23.2 同时违反 transformers 4.52.1 要的 <0.22 与 indextts 要的 ==0.21.0；antlr4-python3-runtime==4.13.2 违反 hydra-core/omegaconf 的 ==4.9.*；mpmath==1.4.1 违反 sympy 的 <1.4。改到唯一合法且与本箱已验证环境一致的一组：0.21.0 / 4.9.3 / 1.3.0。
• 为什么 CI 一直没红：scripts/check_pin_crossconflicts.py（PR feat(ci): 锁集交叉约束检查，抓 issue #97 那类上界/通配冲突 #98 引入）只挂在 pre-commit 的 files: 条件上 —— 只有改动 lock 才触发，已经坏在 main 上的锁集它永远看不见。本 PR 把它加进 ci.yml 的 lint job（Pin cross-constraint gate），每次 PR/push 都跑。
• ⚠ 需要你拍一下的岔口（所以我没有在本 PR 里改下界）：pyproject/requirements.txt 里 transformers>=4.57.0（2026-09-14 搭在一条只讲 gpu-smoke 的提交里进来的）实测站不住 —— 但把它改回 >=4.52.1,<4.53 会让 CI 两道安全门禁同时变红：pip-audit 扫到 4.52.4 的四组"4.53 已修"CVE（PYSEC-2025-216、PYSEC-2026-198/228/229/392），docker-build.yml 的 Trivy 扫描步骤同样 exit 1（镜像构建本身成功）。也就是当前 main 的"安全门禁绿"是踩在引擎跑不起来的版本声明上的。本 PR 只落地无争议部分，下界原样保留并在 pyproject.toml 写明互斥与两条出路：
  1. 回退下界 + 给 pip-audit / Trivy 加逐条带理由的豁免（理由引用分诊文档的可达性判定与复点条件）；
  2. 先让 IndexTTS 适配 transformers ≥4.53（上游放开精确 pin，或改 vendored 拷贝），再抬下界、告警一并消。
• 引擎导入失败的文案不再误导：原来无 from e 保留底层原因、且直接断言"PyPI 无 indextts 包，请从官方仓库安装"，而真实情况是模块装着、深处版本错配 —— 这句话把排查带偏了两轮。现在消息里带 {type(e).__name__}: {e} 与"多半是 transformers 版本不匹配"。
• 新增 docs/SECURITY_DEPENDABOT_TRIAGE.md：20 条 open 告警（= 10 公告 × 2 清单）逐条给严重度、修复版本、谁挡住它、本仓可达性证据与处置建议；GitHub 侧 dismiss 属共享状态，未代做。

实测证据（为什么明知有告警还是不升）

transformers 4.57.6 + tokenizers 0.22.2：
  VoxCPM2      合成 OK → RIFF 243,164 B、RMS 5360
  IndexTTS 2.5 加载失败：ImportError: indextts.infer_v2_5
  IndexTTS 2.0 加载失败：ImportError: indextts.infer_v2

transformers 4.52.1 + tokenizers 0.21.0（本 PR 留在树里的组合）：
  IndexTTS 2.5  加载 200 → RIFF 214,040 B、RMS 6176
  IndexTTS 2.0  加载 200 → RIFF 205,124 B、RMS 6926
  VoxCPM2       加载 200 → RIFF 230,148 B、RMS 4615
  三次卸载后显存均回到 ~3.5 GB（RTX 5070 Ti 12227 MiB，加载前空闲 8.2~8.4 GB）

Test plan

• python scripts/check_pin_crossconflicts.py → exit 0（95 包，冲突 0，未核验 0；改前 exit 1、8 条冲突）
• 全量（冻结树）：pytest tests/ --ignore=tests/e2e --cov=app/integrated_app --cov-branch --cov-fail-under=45 → 2078 passed / 35 skipped / 0 failed，覆盖率 52.12%
• check_mypy_ratchet.py → 103 = 基线；ruff check 通过、ruff format --check 359 文件已格式化
• check_integrity_manifest_sync.py → 16/16 一致（改动的引擎文件不在 16 个签名模块内）
• scripts/sync_requirements.py 重跑 → requirements.txt 与 pyproject 一致（我手改的两行被生成器原样保留）
• 三引擎真推理复验（上表），端口/进程卫生核对（见下 Note）
• 本 PR 自身会验证新加的 CI 步骤确实执行（Pin cross-constraint gate）

Notes

• 本机 30/73 条实装与 lock 不一致，说明这份 lock 从未被真装验证过；彻底 relock + 全量真推理复验是另一件事（需要往干净 venv 装 torch cu132 量级依赖），没有塞进本 PR。
• CI 冒烟 scripts/gpu_smoke_minimal.py 走 OpenAI 口，只有 tts-1/tts-1-hd 两个模型名，IndexTTS 2.0 不在其中；2.0 今天人工验过但未进冒烟，要接入需改用 /api/generate/indextts2 形态并在 GPU runner 复验，另案。
• 排查过程踩到两个假信号（端口被占时服务自动顺延 + 后台任务只杀外壳不杀 python 子进程），已记 docs/agents/GOTCHAS.md chore(main): release 2.2.6 #137。