升级 a2a-sdk 至 1.1.3 并审计下游兼容层

[liujuanjuan1984]

背景

当前 PR #514 正在修复 #513 暴露的出站请求头传递问题。仓库仍锁定 a2a-sdk==1.1.2，而上游最新正式版已为 1.1.3。需要在同一分支升级 SDK，并系统审查现有 SDK compatibility layer、私有形状依赖、版本约束与 override 是否仍必要。

目标

• 将 a2a-sdk 从 1.1.2 升级到 1.1.3，并更新 lockfile。
• 审查 1.1.2 到 1.1.3 的上游变更和依赖变化。
• 运行现有 SDK shape/contract 锁定测试，确认公开与私有依赖面是否漂移。
• 盘点并移除已经不再必要的 compatibility override/workaround；保留项需有当前版本证据和测试保护。
• 审查依赖安全风险与现有 transitive constraints 是否仍必要。
• 更新文档并运行 ./scripts/doctor.sh。

关联

• [bug] 出站 A2A 客户端在 JSON-RPC 调用中未发送已配置凭据（a2a-sdk 1.1.2 忽略 ClientCallContext.state 中的请求头） #513
• fix(client): propagate outbound headers through SDK transports #514

验收标准

• pyproject.toml 与 uv.lock 锁定 a2a-sdk 1.1.3
• SDK contract/shape 审计结论可追踪
• 不必要的 override 已删除，必要项有说明
• ./scripts/doctor.sh 通过

[liujuanjuan1984]

审计进展（基于 #514 当前分支）：

• 上游 GitHub 已创建 v1.1.3 release/tag，但 PyPI 的 a2a-sdk 最新仍是 1.1.2，且 1.1.3 release 没有可下载 assets。uv lock 无法解析 a2a-sdk==1.1.3，因此当前不能生成可发布、可复现的正式依赖锁；不采用 Git commit 作为公共包运行依赖。
• 已临时安装 release 精确 commit 4e71245bf2bf4b31f6429f12d97991f1f3d4b3f4（版本报告为 1.1.3）运行 235 项 client、transport contract、task-store shape/parity 与 extension contract 测试，全部通过。PyPI 发布后预计可直接升级。
• 1.1.2→1.1.3 的运行时代码变更仅涉及 in-memory store/queue/active registry 的跨 event loop 锁，从 asyncio.Lock 切换到 threading.RLock；client HTTP header 通道与 database task store 形状均未变化。
• 已在 fix(client): propagate outbound headers through SDK transports #514 删除无消费者的 ClientCallContext.state["headers"] / state["http_kwargs"] 双写，只保留 SDK 官方 service_parameters 通道，并同步测试与维护文档。
• DatabaseTaskStoreCompat 仍是 first-terminal-state-wins 原子写入所必需；SDK 仍无等价公共 API，shape/parity 测试通过，暂不删除。
• pyasn1>=0.6.4 与 click>=8.3.3 仍需保留：上游包元数据仍允许解析到已知风险版本。pip-audit 当前无已知漏洞。
• 锁定环境的 ./scripts/doctor.sh 已通过（817 项测试）。

本 issue 保持 open，等待 a2a-sdk 1.1.3 实际发布到 PyPI 后完成正式 pin/lock 更新。

[liujuanjuan1984]

上游 v1.1.3 不可从 PyPI 安装的原因已经确认：GitHub Release 对应的发布工作流在校验发行包时失败，报错为 Core Metadata 2.5 不受当前固定的 pypa/gh-action-pypi-publish 1.14.0 支持。

上游已有 Dependabot PR #1187 升级到支持 Metadata 2.5 的 1.14.2，但尚未合并。为避免信息静默、推动维护者确认并重跑发布，已友善提交英文 bug：https://github.com/a2aproject/a2a-python/issues/1199。

在 1.1.3 真正发布到 PyPI 前，本分支继续锁定可安装的 1.1.2；上游发布恢复后再完成依赖锁文件升级。