软件供应链安全落地：SBOM、VEX 与入库阻断三件套

从清单到豁免再到执法：SBOM 生成、VEX 误报治理与 autoBlock 下载阻断的完整落地路径，以及让安全不被一线开发恨上的灰度节奏。