一个 CSV 导出按钮如何牵出整条供应链安全问题

为发票页添加 CSV 导出按钮的顺手修复，最终演变成一次覆盖依赖、CI 与容器镜像的供应链安全排查。过程中发现 pnpm 版本过旧会静默忽略 .npmrc 的 minimum-release-age 设置，uv.lock 引入的 snekpack 依赖涉及 CVE-2024-YIKES 和 CVE-2026-LGTM，zizmor 报告 41 项问题并修复 38 项。