🔒 收紧 GitHub Actions 工作流权限并固定 Action

[UE-DND]

背景

暂无

变更

• 为 CI 工作流设置 contents: read，并将 checkout 配置为 persist-credentials: false。
• 将 actions/checkout 与 voidzero-dev/setup-vp 固定到完整提交 SHA，并保留对应版本注释。
• 将发布工作流的写权限下沉到 publish job；CI job 仍只获得 contents: read。

兼容性与迁移

不改变 SDK API、运行时支持或发布触发条件。发布 job 仍有创建发布所需的 contents: write 与 packages: write 权限。

验证

• git diff --check：通过。
• 未运行 SDK 检查或测试，因为本 PR 只调整 GitHub Actions 配置；合并前由 PR CI 工作流执行验证。