fix: 修复 CI 时区测试失败 + 依赖安全升级 + 新增依赖检查 workflow

- fix(server): getCourseClock 固定 UTC+8（Asia/Shanghai），与 attendance-settlement 保持一致，
  修复 CI（UTC 容器）下 attendance.lesson-session.spec.ts 失败
- chore(deps): @ant-design/x 2.9.0 / @ant-design/x-markdown 2.9.0 / mermaid 11.16.1；
  直接依赖 dompurify 3.4.13（修复生产依赖 audit 漏洞，mermaid/x-markdown 复用同一份）
- ci: 新增 dependency-check workflow（生产依赖 moderate+ / 全局 critical 失败，outdated 报告）

package.json

@@ -36,6 +36,7 @@
     },
     "minimatch@10.2.5": {
       "brace-expansion": "^5.0.9"
-    }
+    },
+    "dompurify": "^3.4.13"
   }
 }