[xJasonShane]

Summary

处理 code-scanning 10 条开放告警：3 类真实问题修复（本 PR），7 条 dismiss（误报/已缓解/测试代码，随合并另行操作）。

本 PR 修复

告警	规则	修复
#15 backup-restore.js	file system race condition	封面恢复写入 access 预检 + writeFile 改 wx 独占创建：已存在原子失败即跳过，消除 check-then-write 窗口（真实风险：竞态下覆盖用户既有封面）
#12 model-export.js	Incomplete string escaping	mdCell **先转义 \ 再转义 `
#2 civitai.js	Double escaping/unescaping	stripHtml 实体解码由 6 段链式 replace 改单趟表映射：链式会把 &amp;lt; 二次解码为 <；单趟只解码一层，与 HTML 规范一致

判定 dismiss（不改动代码）

• build(deps): bump vue from 3.5.43 to 3.5.44 #21 local-image.js / build(deps-dev): bump vite from 7.3.6 to 8.3.4 #20 update-download.js / build(deps-dev): bump electron from 44.7.0 to 44.8.0 #18 library-overview.js / feat: 迭代批次——自由标签、应用内更新、IPC schema 校验与死代码清理 #17 library-index.js / refactor: UI Design Token 体系、store 响应性重构与筛选功能精简 #13 mainWindow.js：stat→open/readFile 竞态均为应用自有文件（库内封面/索引/store/窗口状态）或已被终验兜底（更新包最终 SHA256 + Authenticode 校验，竞态最坏后果是重下一遍）；代码注释已显式记录瞬态竞态与回退路径，属接受的既有设计（wont_fix / false_positive）
• build(deps-dev): bump @vitejs/plugin-vue from 6.0.9 to 6.0.10 #14 tests/hash-warmup.test.js：测试代码（used_in_tests）
• build(deps-dev): bump brace-expansion from 1.1.18 to 1.1.21 #1 civitai.js（Incomplete multi-character sanitization）：stripHtml 输出仅流向纯文本 sink（Vue 插值转义 / textarea / CSV / Markdown 导出），全应用无 HTML 渲染路径，注入前提不成立（false_positive）

Test plan

• 新增回归用例 3 个：实体单层解码 ×2、Markdown 反斜杠/竖线转义 ×2（1626 用例全过）
• npm run lint / typecheck / prettier --check 全绿
• 合并后 CodeQL 对 main 重新分析，build(deps-dev): bump electron from 44.5.1 to 44.7.0 #15/feat: 应用内整理、多视图标签页及增量扫描等功能 #12/build(deps): bump actions/upload-artifact from 4 to 7 #2 自动关闭；refactor: UI Design Token 体系、store 响应性重构与筛选功能精简 #13/build(deps-dev): bump @vitejs/plugin-vue from 6.0.9 to 6.0.10 #14/feat: 迭代批次——自由标签、应用内更新、IPC schema 校验与死代码清理 #17/build(deps-dev): bump electron from 44.7.0 to 44.8.0 #18/build(deps-dev): bump vite from 7.3.6 to 8.3.4 #20/build(deps): bump vue from 3.5.43 to 3.5.44 #21/build(deps-dev): bump brace-expansion from 1.1.18 to 1.1.21 #1 以 dismiss 状态关闭