政务 RAG 白盒审计发现间接提示注入等 4 类缺陷并完成零回归修复

对自研政务 RAG 系统 gov-rag-demo 的白盒代码审计发现 4 类真实缺陷：间接提示注入、权限参数客户端可控、会话 ID 无鉴权、政务高频实体脱敏不足，均定位到行号并完成修复。修复后 78 条业务评测用例保持 100% 零回归，安全专项断言全部通过。材料附完整复现脚本与修复后状态。