ci: pin workflow dependencies and harden reusable checks

[ReSerendipity]

变更说明

固定 actionlint 版本、Linux 发布包来源与 SHA-256 校验，并将工作流中的 action 引用改为不可变 commit SHA。mypy ratchet 现在将致命运行失败和“非零退出但无诊断”明确判为失败；self-purify 增加默认关闭的独立阻断门禁，避免改变现有调用仓库的非阻断语义。

变更类型

• 功能或行为变更
• Bug 修复
• 文档或示例
• 重构 / 性能优化
• 构建、CI 或依赖
• 安全修复

检查清单

• 已阅读目标仓库的 README 和贡献指南
• 已补充或更新必要的文档
• 已运行与本次变更相关的测试、构建或检查
• 未提交密钥、模型缓存、生成产物或个人数据
• 提交信息遵循 Conventional Commits
• 每个提交包含 Signed-off-by（DCO）

验证记录

• actionlint v1.7.12：先验证 Linux 发布包 SHA-256 8aca8db96f1b94770f1b0d72b6dddcb1ebb8123cb3712530b08cc387b349a3d8，再对 .github/workflows/ci.yml、.github/workflows/python-quality-baseline.yml、.github/workflows/self-purify.yml 运行 actionlint -color：通过。
• python -c 'import glob,yaml; files=glob.glob(".github/workflows/*.yml"); [yaml.safe_load(open(f,encoding="utf-8")) for f in files]; print(f"YAML OK ({len(files)} workflow files)")'：通过，3 个 workflow 文件解析成功。
• git diff --check：通过。
• 从 workflow 实际步骤提取的 mypy ratchet shell harness：5 个情境通过（无错误、基线内错误、无诊断退出 1、致命退出 2、超出基线）。

关联 Issue

不适用。