fix(ci): 示例里的 GitHub Actions 大版本标签落后上游

第 18、21 章的工作流示例仍用 actions/checkout@v6 与 actions/upload-artifact@v4，
而上游当前大版本分别是 v7.0.1（2026-07-20）与 v7.0.1（2026-04-10）；本仓库自己的
.github/workflows/* 早已按 SHA 钉在 v7.0.1 上，书里教的和书自己在跑的不一致。
21.2 更是同一个文件内自相矛盾：第 27/108 行写 @v6，第 59 行却钉着 v7.0.0 的 SHA。

sigstore/cosign-installer 一并从 @v3 提到 @v4.1.2：官方 v4.0.0 发布说明写明
"You must upgrade to cosign-installer v4 if you want to install Cosign v3+"，
而 18.6 手工安装那段用的是 releases/latest（今天就是 Cosign 3.x），两条路径装的
不是同一个大版本。该仓库没有可移动的 v4 标签，只能引用完整版本号，已就地加注说明。

docker/{build-push,setup-buildx,login}-action、anchore/sbom-action@v0、
github/codeql-action@v3 逐一核对后确认仍是当前受支持版本，未改动；
trivy-action 的 SHA 57a97c7e 经 GitHub API 核对确与 v0.35.0 一致，注释无误。

18_security/18.6_image_security.md

@@ -420,14 +420,16 @@ jobs:
 
     steps:
     - name: Checkout code
-      uses: actions/checkout@v6
+      uses: actions/checkout@v7
 
     - name: Set up Docker Buildx
       uses: docker/setup-buildx-action@v4
 
     - name: Install Cosign
       if: github.event_name == 'push'
-      uses: sigstore/cosign-installer@v3
+      # cosign-installer 没有发布可移动的 v4 大版本标签，只能引用完整版本号；
+      # 安装 Cosign v3+ 必须使用 v4 及以后的 installer，v3 系列只能安装 Cosign 2.x。
+      uses: sigstore/cosign-installer@v4.1.2
 
     - name: Login to Registry
       if: github.event_name == 'push'
@@ -481,7 +483,7 @@ jobs:
         output-file: sbom-cyclonedx.json
 
     - name: Upload SBOM
-      uses: actions/upload-artifact@v4
+      uses: actions/upload-artifact@v7
       with:
         name: sbom
         path: sbom-cyclonedx.json