fix(ci): 修两处 CI 失败

- requirements-dev.txt: 补 bandit + pip-audit（security job 找不到命令）
- pyproject.toml: pytest pythonpath=['.']（CI 严格 sys.path 下 from app import 不再 ModuleNotFoundError）

本地 dry-run 验证（从 tests/ 子目录跑）：8 passed · coverage 100% · bandit 0 issues

Author: Hackercds

code/backend/pyproject.toml

@@ -1,6 +1,8 @@
 [tool.pytest.ini_options]
 testpaths = ["tests"]
 addopts = "-q"
+# 把 backend 根目录加进 sys.path，CI 在子目录跑也能 `from app import ...`
+pythonpath = ["."]
 
 [tool.coverage.run]
 source = ["app"]

code/backend/requirements-dev.txt

@@ -9,3 +9,7 @@ httpx>=0.27
 # 静态检查
 ruff>=0.3
 mypy>=1.8
+
+# 安全门
+bandit>=1.7
+pip-audit>=2.7