[P2] 加固 CI：覆盖率门槛、Actions SHA 固定与浏览器矩阵

[Eclipseic1848]

背景

当前 CI 已覆盖类型检查、真实 PostgreSQL 测试、Chromium E2E、构建、依赖审计和 Compose 配置，但尚未量化高风险分支覆盖率，Actions 使用可变主版本标签，浏览器验证仅覆盖 Chromium。

验收标准

• 仅对认证、金额、权限、导入和状态机等高风险模块设置可解释的分支覆盖门槛。
• GitHub Actions 固定到完整提交 SHA，并保留可控更新流程。
• 根据正式验收浏览器范围决定是否增加 WebKit 或 Firefox，不机械扩充矩阵。
• 不把覆盖率百分比替代业务和安全场景测试。