修复前端依赖高危漏洞：锁定 flatted / lodash-es 到安全版本

[Copilot]

DriftGuard 扫描在 npm 依赖图中发现 3 个 critical/high 级别漏洞，集中在 flatted@3.3.4 与 lodash-es@4.17.23。本 PR 通过最小范围的依赖约束与锁文件更新，消除对应风险版本。

• 依赖约束（web/package.json）

  • 新增 pnpm.overrides，统一约束传递依赖版本：
    • flatted: 3.4.2
    • lodash-es: 4.18.1

• 锁文件收敛（web/pnpm-lock.yaml）

  • 更新 lockfile 中上述包的解析结果，移除漏洞版本并固定到安全版本。
  • 在 lockfile 顶层记录 overrides，确保后续安装持续生效。

• 文档记录（docs/develop-guides/roadmap.md）

  • 补充 0.6.1 版本记录，注明本次依赖安全修复内容。

示例变更：

{
  "pnpm": {
    "overrides": {
      "flatted": "3.4.2",
      "lodash-es": "4.18.1"
    }
  }
}

[Copilot]

Pull request overview

本 PR 通过最小范围的依赖约束与 lockfile 更新，修复前端 npm 依赖图中由 flatted 与 lodash-es 引发的高危安全告警，确保后续安装持续使用安全版本。

Changes:

• 在 web/package.json 增加 pnpm.overrides，强制约束传递依赖 flatted@3.4.2、lodash-es@4.18.1
• 更新 web/pnpm-lock.yaml：写入顶层 overrides，并将解析结果收敛到上述安全版本（移除旧版本条目）
• 在 docs/develop-guides/roadmap.md 的 0.6.1 记录中补充本次安全修复说明

Reviewed changes

Copilot reviewed 2 out of 3 changed files in this pull request and generated no comments.

File	Description
web/package.json	新增 pnpm.overrides，对传递依赖进行安全版本锁定
web/pnpm-lock.yaml	同步 lockfile：记录 overrides 并将解析结果更新到安全版本
docs/develop-guides/roadmap.md	记录 0.6.1 版本的依赖安全修复内容

Files not reviewed (1)

• web/pnpm-lock.yaml: Language not supported

---

💡 Add Copilot custom instructions for smarter, more guided reviews. Learn how to get started.