fix: 修复 Vite 高危安全告警

[coding-back01]

变更

• 将 Vite 最低版本提升到首个覆盖三条告警的修复版 6.4.3
• 将 @vitejs/plugin-vue 最低版本提升到明确支持 Vite 6 的 5.2.4
• 不引入 lockfile，不混入 build(deps-dev): bump the web-development group across 1 directory with 12 updates #45 的其他大版本升级；首次 lockfile 审计仍按 OpenSpec 任务 4.9 独立执行

RED / GREEN

• RED：旧清单为 vite ^5.4.8，不满足安全下限；@vitejs/plugin-vue ^5.1.4 的最低版本不支持 Vite 6
• GREEN：固定 pnpm 9.15.9 实际解析为 Vite 6.4.3、plugin-vue 5.2.4，严格 peer dependency 安装通过

验证

• pnpm@9.15.9 type-check：通过
• pnpm@9.15.9 build：通过，Vite 6.4.3 构建 1644 个模块
• pnpm@9.15.9 exec eslint .：仍为既有基线 2 个错误、0 个 warning，未新增错误
• openspec validate --all --strict：3/3 通过
• git diff --check：通过
• pnpm audit：因仓库尚无 pnpm-lock.yaml 无法运行，未将其描述为通过

安全边界

本 PR 仅处理 GHSA-fx2h-pf6j-xcff、GHSA-v6wh-96g9-6wx3 和 GHSA-4w7w-66w2-5vf9。合并并读回 Dependabot 告警关闭前，OpenSpec PR 2 保持阻断。