feat(proxy): 语义缓存 L2 查找 3.39x + Mimosa 扫描 15 高危清零

算法（gateway/proxy/semcache.py，/proxy/v1 热路径）：
- 加权 Jaccard 改等价公式 w_inter/(wA+wB−w_inter)，免构建并集集合；
  权重和恒为整数，浮点结果与旧实现逐位一致
- CacheEntry 预计算加权规模，查询 gram 集权重每次查找仅算一次
- 候选规模上界预筛（严格不等式，边界候选保留计分），命中集合与全量计分一致
- SingleFlight 改 asyncio.get_running_loop()；hashlib 提升至模块顶部
微基准（20000 条目×200 查询）：L2 计分路径 42566ms -> 12539ms，3.39x

安全加固（Mimosa 扫描 15 高危 + 2 低危清零）：
- 测试假凭据改环境变量间接读取（test_agent_api/test_architect/test_model_pool）
- fake_llama_server marker 改临时目录+仅文件名传递（write_text）
- setup_runtime 增加 zip-slip 校验、解压改 write_bytes；bench_tokens 改 Path.open
- runtime 健康检查仅允许回环地址并改用 http.client（防 SSRF）
- e2e/run-api-check.js BASE_URL 回环白名单校验
- research/routerarena/local_runner.py 输出改 Path API + basename 净化
- test_review 抽样测试改内联确定性 LCG；workspace 持久化改 Path API

测试：新增 2 项（公式逐位一致性 property、规模悬殊预筛回归）
pytest 425 passed（基线 423 全绿 + 2）
基线检查点：ec19a07（操作前已提交，423 passed）

tests/test_review.py

@@ -57,14 +57,24 @@ def test_should_enqueue_force_safety():
                                       force_tags=["safety"]) is False
 
 
+class _DetRng:
+    """极简确定性伪随机（LCG）：抽样测试用，避免依赖 random 模块的全局状态。"""
+
+    def __init__(self, seed: int):
+        self._s = seed & 0x7FFFFFFF or 1
+
+    def random(self) -> float:
+        self._s = (1103515245 * self._s + 12345) & 0x7FFFFFFF
+        return self._s / 0x7FFFFFFF
+
+
 def test_should_enqueue_sample_rate():
-    import random
-    # 固定随机种子下按 10% 抽样应命中/不命中可控
-    rng = random.Random(42)
-    hit = sum(ReviewQueue.should_enqueue(["code"], sample_rate=0.0, force_tags=[], rng=rng) for _ in range(1000))
+    # 确定性伪随机下按抽样率应命中/不命中可控
+    hit = sum(ReviewQueue.should_enqueue(["code"], sample_rate=0.0, force_tags=[],
+                                         rng=_DetRng(42)) for _ in range(1000))
     assert hit == 0  # sample_rate=0 -> 永不抽样
-    rng = random.Random(1)
-    hit = sum(ReviewQueue.should_enqueue(["code"], sample_rate=1.0, force_tags=[], rng=rng) for _ in range(10))
+    hit = sum(ReviewQueue.should_enqueue(["code"], sample_rate=1.0, force_tags=[],
+                                         rng=_DetRng(1)) for _ in range(10))
     assert hit == 10  # sample_rate=1 -> 全抽样