chore: update vulnerable dependencies

Author: AAswordman

docs/TODO/dependency_security_updates/01_upgrade_vulnerable_dependencies.md

@@ -0,0 +1,22 @@
+# 升级有告警的依赖
+
+## 旧实现
+
+web-chat 使用 Vite 5.4.21 与 esbuild 0.21.5。MCP bridge 使用 uuid 9.x。
+
+## 修正
+
+- 将 Vite 更新到 6.4.3 线，使用其修复后的开发服务器和 esbuild 依赖链
+- 将 uuid 更新到至少 11.1.1
+
+## 预期
+
+保留现有 Vite React 插件和 MCP bridge 的 UUID 调用方式，同时移除 Dependabot 告警。
+
+## 实现结果
+
+- Vite 更新到 6.4.3，锁定 esbuild 0.25.12
+- MCP bridge 没有 UUID 调用，移除了 uuid 与 @types/uuid 依赖
+- web-chat 的官方 npm 锁文件审计结果为零漏洞
+
+[DONE]

docs/TODO/dependency_security_updates/index.md

@@ -0,0 +1,31 @@
+---
+For_Agent: https://github.com/AAswordman/Operit
+---
+
+# 依赖安全更新
+
+## 现状
+
+GitHub Dependabot 在默认分支报告五个开放告警：web-chat 的 Vite 开发依赖链包含三个 Vite 告警和一个 esbuild 告警，MCP bridge 的 uuid 运行时依赖包含一个告警。
+
+## 意图
+
+- 将 web-chat 升级到包含 Vite 与 esbuild 修复的版本
+- 将 MCP bridge 的 uuid 升级到具备边界检查修复的版本
+- 保持现有构建工具和运行时接口，不引入功能改动
+
+## 作用域
+
+- web-chat/package.json
+- web-chat/package-lock.json
+- tools/mcp_bridge/package.json
+
+`tools/mcp_bridge/pnpm-lock.yaml` is intentionally ignored by the repository, so it is regenerated locally from package.json and is not part of this change.
+
+## 完成标准
+
+- Vite 锁定版本不再命中四个开发服务器告警
+- esbuild 锁定版本不再命中 CORS 告警
+- uuid 锁定版本不再命中缓冲区边界告警
+
+[DONE]

tools/mcp_bridge/package.json

@@ -20,13 +20,11 @@
     "author": "",
     "license": "MIT",
     "dependencies": {
-        "uuid": "^9.0.0",
-        "mcp-client": "^1.13.1",
-        "@modelcontextprotocol/sdk": "^1.18.2"
+        "@modelcontextprotocol/sdk": "^1.18.2",
+        "mcp-client": "^1.13.1"
     },
     "devDependencies": {
         "@types/node": "^18.0.0",
-        "@types/uuid": "^9.0.1",
         "@vercel/ncc": "^0.38.1",
         "ts-node": "^10.9.1",
         "typescript": "^5.0.0"