Fix: Trivy-Scan bricht ab, wenn Gitea-Actions-Cache nicht erreichbar ist

Bei Cache-Restore-Fehlschlag fällt setup-trivy auf einen Git-Checkout
von aquasecurity/trivy zurück, um das Install-Skript zu holen. Dabei
wird github.token als Auth-Token an github.com übergeben - unter Gitea
ist das aber der lokale Gitea-Runner-Token, der von GitHub abgelehnt
wird (401, danach Abbruch wegen deaktivierter Prompts). token-setup-trivy
leer lassen, damit der Fallback-Checkout anonym gegen das öffentliche
GitHub-Repo läuft.

Co-Authored-By: Claude Sonnet 5 <noreply@anthropic.com>
Claude-Session: https://claude.ai/code/session_01FKMjR9pBxshZYZdhKyT5Ky

.gitea/workflows/security-scan.yaml

@@ -29,6 +29,12 @@ jobs:
           format: json
           output: trivy-results.json
           exit-code: "0"
+          # github.token ist unter Gitea Actions der Gitea-Runner-Token, nicht gültig für
+          # github.com. Leer lassen, damit der interne setup-trivy-Fallback (Klon von
+          # aquasecurity/trivy zwecks Install-Skript, falls der Binary-Cache-Restore
+          # fehlschlägt) anonym gegen das öffentliche GitHub-Repo läuft statt mit einem
+          # ungültigen Token einen 401 zu provozieren.
+          token-setup-trivy: ""
 
       - name: Install OSV-Scanner
         run: |