fix: parse flat selectors in linear time (backport of 62b1917 to 6.x) - #346

2026-10-26 時 @tailwindcss/typography 最新的 0.5.20 固定相依 postcss-selector-parser 6.0.10，
在 GHSA-rj75-hqrm-r3gf 的受影響範圍內。package.json 加上 overrides
"postcss-selector-parser@<6.1.5": "^6.1.5"：只在相依方要求的範圍含 6.1.5 以前的版本時才套用，
typography 之後改要 7.x 時不會被換回 6.x。6.1.5 由維護者在 2026-10-19T15:02:08Z 發布，內容是
7.1.6 修正的 backport（postcss/postcss-selector-parser#346），已滿 .npmrc 的
min-release-age=7。7.1.6 在另一個 major，所以不用它。

2026-10-26 15:08–15:12Z 查詢的結果：
- GitHub Advisory Database：受影響範圍是 >= 7.0.0, < 7.1.6 與 < 6.1.5，updated_at
  2026-10-26T14:07:57Z。
- 維護者的 repository advisory：同樣兩段，修正版 7.1.6 與 6.1.5。
- OSV：同樣兩段；用版本查，6.1.5 沒有命中，6.0.10 命中。
- npm 的 audit 資料仍只寫 <7.1.6，npm audit 照樣把 6.1.5 列為有漏洞。
- Dependabot alert #37 回 HTTP 410（Alert number 37 has been withdrawn），依 open、
  dismissed、fixed、auto_dismissed 列出也找不到這個套件的 alert。

在 min-release-age=7 下跑 npm install，package-lock.json 只改 postcss-selector-parser 一筆的
version、resolved、integrity（6.0.10 → 6.1.5），相依 cssesc、util-deprecate 不變；把 override
的 key 加上版本範圍之後 lock 不變。main 與這個 commit 各跑一次 build:deployable，dist 的 213 個
檔案只有 build-info.json 不同（它記的是 commit）；typography 產生的 .prose 規則在 BaseLayout 的
CSS 裡，建置確實用到這個套件。

SECURITY.md 那一段照上面的現況改寫，拿掉「已關閉為 tolerable_risk」與等 6.1.5 收進 GHSA 的計畫。

Refs #166

2026-10-26 時 @tailwindcss/typography 最新的 0.5.20 固定相依 postcss-selector-parser 6.0.10，
在 GHSA-rj75-hqrm-r3gf 的受影響範圍內。package.json 加上 overrides
"postcss-selector-parser@<6.1.5": "^6.1.5"：只在相依方要求的範圍含 6.1.5 以前的版本時才套用，
typography 之後改要 7.x 時不會被換回 6.x。6.1.5 由維護者在 2026-10-19T15:02:08Z 發布，內容是
7.1.6 修正的 backport（postcss/postcss-selector-parser#346），已滿 .npmrc 的
min-release-age=7。7.1.6 在另一個 major，所以不用它。

2026-10-26 15:08–15:12Z 查詢的結果：
- GitHub Advisory Database：受影響範圍是 >= 7.0.0, < 7.1.6 與 < 6.1.5，updated_at
  2026-10-26T14:07:57Z。
- 維護者的 repository advisory：同樣兩段，修正版 7.1.6 與 6.1.5。
- OSV：同樣兩段；用版本查，6.1.5 沒有命中，6.0.10 命中。
- npm 的 audit 資料仍只寫 <7.1.6，npm audit 照樣把 6.1.5 列為有漏洞。
- Dependabot alert #37 回 HTTP 410（Alert number 37 has been withdrawn），依 open、
  dismissed、fixed、auto_dismissed 列出也找不到這個套件的 alert。

在 min-release-age=7 下跑 npm install，package-lock.json 只改 postcss-selector-parser 一筆的
version、resolved、integrity（6.0.10 → 6.1.5），相依 cssesc、util-deprecate 不變；把 override
的 key 加上版本範圍之後 lock 不變。main 與這個 commit 各跑一次 build:deployable，dist 的 213 個
檔案只有 build-info.json 不同（它記的是 commit）；typography 產生的 .prose 規則在 BaseLayout 的
CSS 裡，建置確實用到這個套件。

SECURITY.md 那一段照上面的現況改寫，拿掉「已關閉為 tolerable_risk」與等 6.1.5 收進 GHSA 的計畫。

Refs #166