[Windsander]

fix(desktop): update Electron to 42.11.18 for certificate advisory

背景

v0.1.0 正式发布在 verify 阶段被主动取消（run 40083812329），没有发布 npm、没有创建 Release。

发布前安全检查发现：安装包内置的 Electron 42.11.9 命中高危 advisory：

Electron: Mitigation for compromised eMudhra intermediate certificates
vulnerable: < 42.11.16
fixed: 42.11.18

其余 undici/zod 告警只落在 DSH peer 依赖，不进入 Mebular runtime 或桌面安装包。

修复

• apps/desktop/package.json：Electron 42.11.9 → 42.11.18（精确版本）
• apps/desktop/package-lock.json：同步 electron 版本与 integrity
• 新增契约测试：
  • Electron 必须是精确版本且 >= 42.11.18
  • lock 中版本必须与 package.json 一致

验证

• npm ci（apps/desktop）：成功
• npm audit（apps/desktop）：0 vulnerabilities
• apps/desktop smoke：21 项通过，v42.11.18
• dist:dir：electron-builder 使用 electron=42.11.18
• packaged runtime smoke：7/7
• tests/desktop：11 suites / 239 tests
• lint：通过

下一步

合并后重跑 packaging dry-run，确认三平台安装包内 Electron 均为 42.11.18；然后再正式 release/v0.1.0。仍未发布。