看懂 GHSA-x5fp-wj9c-mxmx，qs 的 arrayLimit 为什么会被方括号加逗号的写法绕过

看到 GHSA-x5fp-wj9c-mxmx – qs array-limit bypass via bracket-key comma parsing 这一串文字时，最容易产生的误解，是把它理解成某个前端数组越界漏洞，或者理解成 JavaScript 的 Array 自身出了安全问题。