feat: 升级至 v0.3.1 — 全量代码审计修复 + 安全增强

本次升级基于完整代码审查，修复 Critical/High/Medium/Low 四级共 96 项问题，
并通过返工审计修复 10 项遗留问题，tsc 双端类型检查零错误。

Critical (10/10 完成):
- C-4: command.ts 接入 shell-quote 进行 token-level 注入检测，替代原有正则匹配
  可防御 r"m" -rf /、$'rm'、$(echo rm) 等字符串拼接绕过

High (11/11 完成):
- 竞态保护、Promise.allSettled、AbortController 资源泄漏、IPC 参数校验等

Medium (55/55 完成):
- 事务保护、敏感数据脱敏、枚举校验、MUI v9 Stack prop 迁移、
  React 组件 cancelled 标志、类型收窄等

Low (20/20 完成):
- 辅助方法提取（flushToolCallBuffer/scoreAndPushMemory/tryAddColumn 等）
- nanoid 统一替代 Date.now()+Math.random()
- confirm() 替换为 MUI Dialog、useMemo 缓存、魔法数字命名化等

返工审计修复 (10/10 完成):
- L-11: LogsSettings 残留的原生 confirm()/alert() 全部替换为 MUI Dialog/Alert
- M-53: MemoryViewer handleSearch 独立 ref，修复 searching 状态卡死
- M-42: 脱敏短值（length <= 4）泄露修复
- M-47: tasks:update 补全 title/description 类型校验
- L-9: ollama.adapter 非流式路径 nanoid 统一
- M-45: audit:query limit 策略与 memory:listAll 一致化
- SettingsModal handleConfirmRemove 补全 try/catch + loadServers cleanup
- L-15: CommandPalette useMemo 补全 sessions 响应式依赖
- useAgentStream 事件类型补全 seq/timestamp 字段

新增依赖: shell-quote + @types/shell-quote
版本号: 0.3.0 -> 0.3.1

electron/harness/hooks/confirmation-hook.ts

@@ -28,6 +28,10 @@ export class ConfirmationHook implements PreToolHook {
   /** 需要确认的风险等级 */
   private static REQUIRES_CONFIRMATION = ['high', 'critical'];
 
+  /** L-12 修复: 确认超时范围魔法数字提取为命名常量（30 秒 ~ 600 秒） */
+  private static readonly MIN_CONFIRMATION_TIMEOUT_MS = 30_000;
+  private static readonly MAX_CONFIRMATION_TIMEOUT_MS = 600_000;
+
   /** 工具定义缓存（由外部设置） */
   private toolDefs = new Map<string, MetonaToolDef>();
 
@@ -112,8 +116,11 @@ export class ConfirmationHook implements PreToolHook {
     try {
       const timeout = this.configService.get<number>('agent.confirmationTimeoutMs');
       if (timeout != null) {
-        // 限制范围：30 秒 ~ 600 秒
-        this.confirmationTimeoutMs = Math.min(600_000, Math.max(30_000, timeout));
+        // L-12 修复: 使用命名常量替代魔法数字
+        this.confirmationTimeoutMs = Math.min(
+          ConfirmationHook.MAX_CONFIRMATION_TIMEOUT_MS,
+          Math.max(ConfirmationHook.MIN_CONFIRMATION_TIMEOUT_MS, timeout),
+        );
       }
     } catch {
       // 配置加载失败，使用默认值
@@ -122,7 +129,11 @@ export class ConfirmationHook implements PreToolHook {
 
   /** 设置确认超时时间（运行时更新） */
   setConfirmationTimeout(ms: number): void {
-    this.confirmationTimeoutMs = Math.min(600_000, Math.max(30_000, ms));
+    // L-12 修复: 使用命名常量替代魔法数字
+    this.confirmationTimeoutMs = Math.min(
+      ConfirmationHook.MAX_CONFIRMATION_TIMEOUT_MS,
+      Math.max(ConfirmationHook.MIN_CONFIRMATION_TIMEOUT_MS, ms),
+    );
   }
 
   /** 获取当前确认超时时间 */

electron/harness/hooks/pre-tool.ts

@@ -53,7 +53,9 @@ export class RateLimitHook implements PreToolHook {
     }
 
     const entry = this.callCounts.get(key);
-    if (entry && entry.resetTime >= now) {
+    // L-2 修复: 使用 > 而非 >=，确保窗口到期时正确重置（边界条件）
+    // 当 resetTime === now 时应视为已到期，进入 else 分支重建 entry
+    if (entry && entry.resetTime > now) {
       if (entry.count >= this.maxCallsPerMinute) {
         return { blocked: true, reason: `Rate limit exceeded for tool "${toolCall.name}"` };
       }