test(deps): D1 把 launcher/requirements-small.txt 一起纳入「钉版 vs 声明」核对

[ReSerendipity]

为什么

Dependabot 抬 Python 依赖时只改两份钉版文件、不碰声明：#88 改的正是
requirements-lock.txt + launcher/requirements-small.txt。而 tests/test_dependency_consistency.py
的 D1 原先只核对锁 ↔ 声明，小清单那半边没人看。

check_pin_crossconflicts.py 能抓到 #88，但它用的是另一套判据（"被钉住的包自己的 PyPI 元数据
互相冲突"），跟"声明写着 <4.53"不是同一件事。两套判据都该在本地跑得出同样的结论 ——
这条就是把缺的那半补齐，12 行改动。

与 #81 的关系

#81 带的 scripts/check_pin_floors.py（+185 行）做的就是这件事（声明下界 vs 两份钉版集，
外加 --allow-debt 棘轮）。它有两处不好照单收：前提写在错误的 transformers>=4.57.0 上
（#103 已推翻），以及同一分支还带着 app_server.py + security/integrity_manifest.json(.sig)
两处按约定归所有者的改动。所以这里用一条测试覆盖同一判据，#81 的处置另在该 PR 里给结论。

改动与验证

• D1 的核对目标从 1 份变 2 份（requirements-lock.txt + launcher/requirements-small.txt），
  违规消息带文件名前缀。
• 防空转断言加强：小清单实测能对上 21 个声明包（门槛 ≥20），并合成一次 build(deps): bump transformers from 4.52.1 to 5.17.0 #88 的形状
  （小清单里 transformers=5.17.0 + tokenizers=0.23.1）——必须报错。
• 本机：tests/test_dependency_consistency.py 11 passed；ruff check / format --check 全绿；
  scripts/check_pin_crossconflicts.py 仍 冲突 0 条 → PASS（exit 0）；
  两文件共享的 92 个包当前版本零差异（所以本条不会让 CI 变红，只是把判据补全）。

排查过程中我一度以为锁里有真冲突（transformers==4.52.1 vs huggingface-hub==0.36.2），
复核后是我的读输出串了行：PyPI 元数据显示 4.52.1 要 huggingface-hub>=0.30.0,<1.0，
0.36.2 在区间内，检查器也判 0 冲突 —— 记在这里是为了说明"锁可安装"这条结论仍然是绿的。