fix: pre-commit 任务容错 + gitleaks 钩子 + pnpm 构建门禁

- _tasks 的 pre-commit install 改为容错：未装时跳过而非让 copier 失败
- .pre-commit-config 增加 gitleaks 钩子（git-workflow/security 规则均已声明）
- 新增 frontend/pnpm-workspace.yaml 的 allowBuilds: esbuild，解决 pnpm 11
  ERR_PNPM_IGNORED_BUILDS 致 install 非零退出而中断生成的问题

端到端验证：copier 退出 0，git/uv.lock/pnpm-lock/node_modules 齐全，
verify.sh 零失败。

copier.yml

@@ -49,7 +49,11 @@ _tasks:
   - command: pnpm install
     working_directory: frontend
     when: "{{ include_frontend }}"
-  - command: "pre-commit install && pre-commit install --hook-type commit-msg"
+  # 未安装 pre-commit 时跳过而非让生成失败（退出码恒 0）
+  - command: >-
+      command -v pre-commit >/dev/null 2>&1
+      && pre-commit install && pre-commit install --hook-type commit-msg
+      || echo '⚠ 未检测到 pre-commit，已跳过钩子安装；请先安装后手动运行：pre-commit install'
 
 # ── 项目基本信息 ────────────────────────────────────────────────────────
 project_name: