fix(deps): resolve 5 Dependabot security alerts · Pull Request !1 · 科大讯飞/skillhub

## Summary
修复 GitHub Dependabot 在 iflytek/skillhub 仓库标记的 5 个安全漏洞，覆盖 web 和 docs/skillhub 两个前端子项目。

## Vulnerabilities Fixed
| 包 | 漏洞 | 严重等级 | 影响版本 | 升级到 |
|----|------|---------|---------|--------|
| esbuild | GHSA-67mh-4wv8-2f99 | Moderate | <= 0.24.2 | 0.25.12 |
| vite | CVE-2026-39363 | High | <= 6.4.1 | 6.4.2 |
| vite | CVE-2026-39365 | Moderate | <= 6.4.1 | 6.4.2 |
| postcss | CVE-2026-41305 | Moderate | < 8.5.10 | 8.5.10+ |
| flatted | CVE-2026-33228 | High | <= 3.4.1 | 3.4.2 |
| picomatch | CVE-2026-33672 | Moderate | >=4.0.0 <4.0.4 | 4.0.4 |

## Changes
**web/** (pnpm)
- devDependencies: vite ^6.1.0→^6.4.2, postcss ^8.4.0→^8.5.10
- pnpm.overrides: esbuild ^0.25.0 (防御层), flatted@<3.4.2→^3.4.2, picomatch@>=4.0.0 <4.0.4→^4.0.4

**docs/skillhub/** (npm, vitepress 1.6.3)
- npm overrides: vite ^6.4.2, esbuild ^0.25.0, postcss ^8.5.10

## Validation
- [x] web: pnpm install --frozen-lockfile 通过
- [x] web: pnpm build 通过
- [x] web: pnpm typecheck 通过
- [x] docs: npm install + vitepress build 通过
- [x] docs: vitepress dev server 正常 (HTTP 200)
- [x] grep lockfile 确认 0 残留漏洞版本

## Risk
- docs/skillhub 通过 npm overrides 把 vitepress 内嵌 vite 5.x 升到 6.x (跨大版本); build+dev 已实测通过
- pnpm overrides 选择器精确锁定漏洞范围, 未影响 picomatch 2.x 合法链路

## Out of Scope
- document/ 子项目 (Docusaurus, 无 lockfile) 不在本 PR 范围, Dependabot 未对其告警

类型	指派人员	状态
审查	科大讯飞	进行中 (0/1人)
测试	科大讯飞	进行中 (0/1人)

科大讯飞/skillhub .gitee-modal { width: 500px !important; }

搜索帮助

科大讯飞/skillhub