fix(BIZ-42): 综合评审优化 — 12项修复

四轮评审反馈全部处理：

🔴 Critical (5):
- _stats data race: 新增 _stats_lock (asyncio.Lock) + _increment_stat() helper
- Admin API 无认证: 新增 SIDECAR_ADMIN_TOKEN Bearer Token 认证
- API Key 明文暴露: GET config 返回 masked api_key (前4位+****)
- queue_max_size hot-reload 假生效: PriorityQueue.set_max_size() + 收缩保护
- SIDECAR_TIMEOUT 6000→60s + 上限截断 300s

🟠 Major (3):
- upstream_api_key 启动检查: lifespan 阶段 warning 日志
- Dashboard HTML 无缓存: 300s TTL 内存缓存
- queue_stats 异常日志: logger.warning(queue_stats_unavailable)

🟡 Medium (3):
- CORS middleware 配置
- httpx 连接池限制 (max_connections=100, keepalive=20)
- SSE retry: 3000 字段

🟢 Minor (1):
- _extract_model 类型注解 body: dict→Any
- passthrough 硬编码 30s→_config.request_timeout

mypy strict: 5 files, zero errors

Reviewed-by: 梁思筑, 严维序, 陆怀瑾, 沈路明
Co-authored-by: multica-agent <github@multica.ai>

services/nvidia_sidecar/config.py

@@ -56,7 +56,7 @@ class SidecarConfig:
 
     # ---- 超时 ----
     request_timeout: float = field(
-        default=6000.0,
+        default=60.0,
         metadata={"env": "SIDECAR_TIMEOUT"},
     )
 
@@ -153,9 +153,14 @@ def _validate_config(config: SidecarConfig) -> list[str]:
     # request_timeout 合理性
     if config.request_timeout <= 0:
         issues.append(
-            f"request_timeout ({config.request_timeout}) 无效，回退到默认值 6000"
+            f"request_timeout ({config.request_timeout}) 无效，回退到默认值 60"
         )
-        config.request_timeout = 6000.0
+        config.request_timeout = 60.0
+    elif config.request_timeout > 300.0:
+        issues.append(
+            f"request_timeout ({config.request_timeout}) 异常偏高，已截断为 300"
+        )
+        config.request_timeout = 300.0
 
     return issues