fix(security): 修复 Dependabot 安全告警 (pgx + 前端依赖)

[tbphp]

Summary

闭环当前 GitHub Dependabot 全部 8 条 open 告警，并附带修复本地 npm audit 多发现的 4 条 npm 漏洞，共 12 条。

• 后端：github.com/jackc/pgx/v5 5.6.0 → 5.9.2，闭环 CVE-2026-33816（critical, 内存安全）与 CVE-2026-41889（low, dollar-quoted SQL 注入）。pgx v5.9.x 要求 go 1.25.0，因此一并把 go.mod、3 份 release workflow（go-version: 1.25.x）和 Dockerfile（golang:1.25-alpine）的 Go 版本声明从 1.24 抬到 1.25。
• 前端：仅通过 npm audit fix（不带 --force）在 semver 范围内更新 web/package-lock.json，web/package.json 未变。关键升级：rollup 4.57→4.60（路径穿越）、vite 6.4.1→6.4.2（路径穿越 + WS 任意文件读）、minimatch 3.1.2/9.0.5→3.1.5/9.0.9（ReDoS）、picomatch 2.3.1/4.0.3→2.3.2/4.0.4（方法注入 + ReDoS）、flatted 3.3.3→3.4.2（原型污染）、lodash/lodash-es 4.17.23→4.18.1（模板注入 + 原型污染）、postcss 8.5.6→8.5.14（XSS）。

验证

• go build ./... exit 0
• go vet ./... exit 0
• go test ./... 通过（仓库目前无 Go 测试用例）
• npm audit found 0 vulnerabilities
• npm run build exit 0，dist 产物大小与既有一致
• npm run lint:check exit 0
• npm run type-check exit 0

Test plan

• CI release workflow 在 Go 1.25.x 下成功构建 linux / macos / windows 产物
• Docker 镜像基于 golang:1.25-alpine 成功构建
• 前端关键页面（登录、Dashboard、Keys、Logs、Settings）肉眼回归无异常
• 合入后 Dependabot 上的 8 条 open 告警自动关闭

备注

• 不涉及业务逻辑代码改动，UI 行为应保持不变。
• Code Scanning 与 Secret Scanning 历史告警此前已被维护者 dismiss/resolve，本 PR 未触碰。
• Go 工具链升级到 1.25 是 pgx 修补的传递性必要前置，没有可绕过的修补分支。