修复：统一主题切换并升级依赖与验证流程

README.md

@@ -123,10 +123,19 @@ npm test
 CHROME_PATH=/absolute/path/to/chrome npm test
 ```
 
-现有 21 个离线场景覆盖登录协议、短信倒计时、路由保护、会话失效、双标签页退出、SSH 密钥管理、
-请求超时、支付期限及旧登录入口等流程。测试产物保存在被忽略的 `tests/fixtures/runs/`。
+离线场景覆盖登录协议、短信倒计时、路由保护、会话失效、双标签页退出、SSH 密钥管理、
+请求超时、支付期限及旧登录入口，并逐步补充安全组、工单、镜像购买和商品字段回归。
+测试产物保存在被忽略的 `tests/fixtures/runs/`。
 详细使用方式见 [测试说明](tests/README.md)。
 
+仓库包含 `.gitea/workflows/frontend.yml`：安装锁定依赖后运行源码检查、生产构建、浏览器测试和
+`npm audit --audit-level=moderate`，不执行部署。Git 服务需启用 Actions 并配置兼容的 Linux runner；
+仅提交工作流不代表远端任务已经运行通过。
+
+传递依赖 `glob` 与 `minimatch` 通过精确 overrides 使用修复版本。
+截至 2026-11-06，`deepmerge` 的 GHSA-gcqx-w48m-w2h4 尚无已发布修复版本，低危传播告警仍保留，
+未用强制降级 Nuxt 或关闭审计来隐藏。禁止把通过中危及以上门禁解读为依赖零风险。
+
 真实支付、第三方登录 / CAPTCHA、安全挑战、短信邮件投递、供应商接口和 VNC 网关仍需在测试环境联调。
 
 ## 维护与交付说明