[xJasonShane]

Summary

消化 Dependabot 安全页 全部 5 条开放告警：

告警	严重度	修复
fast-uri URI scheme spoofing / host confusion / path equivalence / scheme injection（4 条）	medium×2 + low×2	overrides.fast-uri 3.1.8 → 3.1.9（ajv 依赖链，首修复版）
minimatch globparts amplification DoS（1 条）	medium	overrides 新增 minimatch ^11.0.1，全树收敛 11.0.5

• minimatch 说明：受影响节点 9.0.9（@electron/universal）与 10.2.6（eslint / js-beautify / electron-builder 链）；上游无 9/10 线回移植补丁，父包均未迁移 v11，按 npm 安全惯例 overrides 强制
• 顺带同步 lock：electron-builder 26.15.3 → 26.18.0（package.json 已声明 ^26.18.0 但 lock 滞后，npm ls 报 invalid）

Test plan

• npm run lint / typecheck / format:check 全绿（eslint 的 minimatch 重度使用路径实测兼容）
• npm test：1623 用例全过
• npm run smoke:packaged：electron-builder --dir 打包 + 真实 EXE 六项冒烟检查通过（打包链 minimatch@11 兼容）
• npm audit --omit=dev：0 漏洞（CI 运行时审计门禁口径）
• 合并后 Dependabot 告警自动关闭确认

本地 npm audit 另见 1 条 glob moderate（GHSA-3g3m-2fjr-6pw4，js-beautify→glob@13 链，dev-only）：不在本次 Dependabot 告警集内，且 js-beautify 最新版仍锁 glob ^13 无干净升级路径，暂不处理、后续跟踪。