fix(deps): 依赖下界回到实测能跑的 transformers 4.52.x，安全门禁改为逐条带理由的豁免

[ReSerendipity]

这条 PR 解决什么

pyproject.toml / requirements.txt 里的 transformers>=4.57.0 与引擎的真实约束互斥：按它装出来的环境两个引擎起不来。本 PR 采信引擎侧，把下界收回实测可跑的 4.52.x，并把因此变红的两道安全扫描改成逐条、带理由、带到期时间的已接受风险豁免，再加一条测试防三方漂移。

它是 #101 留下的那个岔口的决策落地——#101 当时只并了"无争议部分"（锁集合法化 + 检查器接进 CI + 报错文案），把下界交回所有者；本轮已定出路①。

证据（本机 RTX 5070 Ti，2026-09-21 A/B 实测）

环境	VoxCPM2	IndexTTS 2.5	IndexTTS 2.0
transformers 4.57.6 + tokenizers 0.22.2	✅ 243,164 B / RMS 5360	❌ infer_v2_5 ImportError	❌ infer_v2 ImportError
transformers 4.52.1 + tokenizers 0.21.0	✅ 230,148 B / RMS 4615	✅ 214,040 B / RMS 6176	✅ 205,124 B / RMS 6926

每次卸载后显存回到 ~3.5 GB。另外 indextts 2.0.0 的发行元数据本身写的就是 transformers==4.52.1 且 tokenizers==0.21.0——不是我们挑的版本，是它钉的。

改动

• pyproject.toml / requirements.txt：transformers>=4.52.1,<4.53、tokenizers>=0.21.0,<0.22。注释里保留上面这张表，避免下次又被"顺手抬下界"。
• .github/workflows/security.yml：pip-audit 加 5 个 --ignore-vuln PYSEC-*，号逐条取自真实 CI 输出（job 106215347173），不是猜的。
• .trivyignore.yaml（新）+ docker-build.yml / docker-publish.yml：3 条 CVE 豁免，每条绑定 package: transformers 且 versions: ["4.52.4"]（不会放过别的版本），带 expiration: 2026-12-31——到期即重新变红，不做永久静默。
• tests/test_dependency_consistency.py（新，8 条）：把声明 / 锁集 / 豁免清单钉在一起。D1 锁集里每个 pin 必须满足 pyproject 声明（实际检查 ≥20 个包）；D2 锁集必须仍是 transformers==4.52.1 + tokenizers==0.21.0 且声明带 <4.53；D3 豁免每条必须有 expiration，且每个 CVE/PYSEC 号都要在分诊文档里出现。三条各配一条"去掉规则就会变红"的防空转断言。
• docs/SECURITY_DEPENDABOT_TRIAGE.md / docs/DOD.md：分诊表补 §1a 的 PYSEC↔CVE 真实映射、§2 的 A/B 证据与决策、并撤回两处我此前说过头的话（容器里根本没有 IndexTTS，"Docker 路径被下界弄坏"不成立；protobuf 上界未经证明，改标 unproven）。

预期代价（不是回归，是换取门禁绿的定价）

按本声明装环境的人拿到的是 4.52.x，会带上 4.52.4 的 3 条已分诊 CVE。可达性判定：三条都需要加载不可信 tokenizer/模型权重才走得通，本服务不加载外部权重来源，故按已接受风险处理；复点条件写在分诊文档 §4。出路②（让 IndexTTS 侧适配 ≥4.53）需要上游放开精确 pin 或改 vendored 拷贝，那是另一条工程量。

验证

本机已跑：ruff check All checks passed / ruff format --check 360 files / mypy 103 = 基线 / check_pin_crossconflicts.py exit 0 / check_integrity_manifest_sync.py exit 0 / check_spec_refs.py new=0 / sync_requirements.py 可复现 requirements.txt / 新测试 8 passed / 全量 pytest 2086 passed, 35 skipped，覆盖率 52.17%。
真机三引擎推理即上表 4.52.1 那一行。

不在本 PR 内

GitHub 上 20 条 Dependabot 告警的 dismissal（属所有者动作，逐条理由已在分诊文档 §1 备好）；lock 的整体重算（B1，会连带验证 protobuf 上界那条未证明的推断）。

• 我没有在本地跑真机验收的部分，需要合并前确认的：pip-audit 与 Trivy 两步在 CI 里的实际表现（本机无 docker daemon，镜像扫描只能靠 CI）。