docs: clarify compliance reports are self-assessment templates

[varwof]

变更

• cmd/pki/report.go：报告标题 Compliance Report → Self-Assessment Report（soc2/pci/nist/iso 四个模板）
• internal/serve/web/app.js：报告卡片描述同步改为 self-assessment
• docs/security/{en,zh}/audit-compliance.md：新增声明——自评估模板非独立审计认证
• go.mod：删除过时的本地 replace 注释
• 移除本地生成的 compliance-soc2 PDF 产物（.gitignore 已有规则，从未进 git）

为什么

生成的报告是依据本地状态自动生成的模板（0 CA/0 证书时也全 PASS），措辞不能让人误读为已通过 SOC 2/PCI 审计。