security-scan 前端审计口径收为生产依赖（--omit=dev） #105

背景

main 的 CI 因 braces 链（GHSA-vfj7-8cjw-p6xm，eslint-config-next → fast-glob → micromatch → braces）持续红。该 advisory 覆盖 braces 全部已发布版本，上游无补丁可升；唯一"修复"是 force 降级 eslint-config-next@14.2.35（已否决）。

关键事实：随 #102 后，生产依赖（next 16.3.8 / sharp / brace-expansion）已全部修复，braces 整条链只存在于 devDependencies 工具链。本地验证 npm audit --omit=dev --audit-level=high = 0 漏洞。

方案

CI 前端审计加 --omit=dev：生产依赖维持 high 级严格门禁，dev 工具链 DoS 级 advisory 不再挡门。CI 恢复全绿，且生产安全标准不降。

验收

• main CI 全绿（六项）
• AGENTS.md 4.4 更新为新口径与豁免事实（上游发补丁后可回全量口径）
• 本地 npm audit --omit=dev --audit-level=high = 0