v0.7.4 — 合规扫描检测基准（精确率/召回率可验证）

把「信我能检」变成「看数字」。

新增

• npm run bench:scan：用 31 个标注样例（17 真实风险 + 14 硬负例：境内端点 / 占位符 / 文档示例 / lock 文件 / 无效校验位）跑真实 scanProject 管线，算精确率 / 召回率 / F1
• 基线：精确率 100% · 召回率 100% · F1 100%，CI 门禁（低于 90% 构建失败）
• 自建语料，诚实标注——建基准的过程本身就验证并暴露了检测边界（如占位符过滤器对含 abcdef/123456 的密钥的取舍）

一个安全工具该用数字证明自己检得准，而不是"你信我"。