Ant Code v2.0.7: dependency security patch

CHANGELOG.md

@@ -2,6 +2,37 @@
 
 ## Unreleased
 
+## 2.0.7 - 2026-09-05
+
+This is a dependency security patch on the 2.0 TypeScript runtime.
+Dashboard Mermaid is updated to `11.17.2` with DOMPurify `3.4.14`.
+The TUI `ink` stack now uses `ws` `8.21.3`. The Dashboard asset bundler
+`esbuild` is `0.28.2`. Permission mode ids, search, and tool behavior are
+unchanged.
+
+### Fixed
+
+- Mermaid `11.17.2` and DOMPurify `3.4.14` close the stacked Dashboard
+  diagram/sanitizer advisories.
+- `ws` `8.21.3` closes the high-severity WebSocket memory-exhaustion issue
+  pulled in by `ink`.
+- `esbuild` `0.28.2` closes the Windows development-server advisory. This
+  package is not on the user runtime path.
+
+### Upgrade
+
+```sh
+git pull
+npm ci
+npm run verify:install
+npm link
+ant-code --version
+```
+
+`ant-code --version` should print `2.0.7`. Restart a running Dashboard so it
+loads the rebuilt local Mermaid bundle. Gateway config and `.lab-agent`
+sessions do not need to be recreated.
+
 ## 2.0.6 - 2026-09-05
 
 This is a small reliability release on the 2.0 TypeScript runtime.

README.md

@@ -113,7 +113,7 @@ ant-code doctor
 ant-code
 ```
 
-`ant-code --version` should print `2.0.6`. If you previously linked a
+`ant-code --version` should print `2.0.7`. If you previously linked a
 JavaScript install, run `npm link` again so the global command points at
 `src/cli/index.ts`.
 

docs/releases/2.0.7-dependency-security-patch_zh.md

@@ -0,0 +1,38 @@
+# Ant Code v2.0.7：Dashboard 与 TUI 依赖安全补丁
+
+发布日期：2026-09-05
+
+这是 2.0 TypeScript 运行时上的依赖补丁。把 Dashboard 流程图用的 Mermaid、其消毒库 DOMPurify、TUI 间接依赖 `ws`，以及仅用于打包的 `esbuild` 升到已修复版本，清掉公开仓 Dependabot 上叠出的那组告警。权限模式 id、搜索渠道和工具行为不变。本说明处于公开发布候选阶段，不表示 CI、tag 或 GitHub Release 已经完成。
+
+## 对用户工作流的直接变化
+
+- Dashboard 本地打包的 Mermaid 从 `11.15.0` 升到 `11.17.2`，DOMPurify 升到 `3.4.14`。流程图仍在本机渲染，不走 CDN。
+- TUI 使用的 `ink` 所带 `ws` 升到 `8.21.3`，避免已知的 WebSocket 内存耗尽与未初始化内存问题。
+- 开发打包用的 `esbuild` 升到 `0.28.2`。这不影响用户日常运行 TUI/CLI；正在跑的 Dashboard 需要重启才能加载新的本地资源。
+- 命令、权限模式、网关协议、搜索和 `rg_*` 行为没有改。
+
+## 配置、数据与安全边界
+
+- 配置格式、session / transcript、凭据存储和网关协议没有迁移。现有配置和 `.lab-agent` 会话可继续使用。
+- 这次没有改权限模式 id，也没有改默认允许主机。
+- 这些补丁修的是依赖库已知漏洞，不能代表所有私有研究数据、外部模型供应商或现场网络环境都已得到验证。
+
+## 升级与产物位置
+
+需要 Node.js 22.18+。从源码更新：
+
+```sh
+git pull
+npm ci
+npm run verify:install
+npm link
+ant-code --version
+```
+
+`ant-code --version` 应显示 `2.0.7`。若以前 link 过旧安装，需要重新 `npm link`。正在跑的 Dashboard 需要重启。现有网关配置和会话不必重建。本次没有新的安装包要求。
+
+## 验证、限制与待完成门禁
+
+- 开发仓 `npm test`（`node:test` 口径）：tests 1273，pass 1272，fail 1。失败项是 `MCP request timeout is a failed request, not a user interrupt`，与本次依赖补丁无关。Dashboard 浏览器套件 35 项全部通过。`check:dashboard-assets` 62 个文件字节一致。完整 `npm run verify:release` 交给 GitHub CI。
+- 未把 TaxaMask 内嵌主题、`dashboard-embed` 或源码写入守卫带入独立版。独立 Ant Code 发布不会自动更新 TaxaMask 内嵌拷贝。
+- 候选阶段最终结论以正式仓同一提交的 CI 和 Release 门禁为准。