fix(security): 更新联邦与路由安全依赖

[ckken]

Scope

• Changed areas: packages/emp-share 的 Module Federation 2.8.1 补丁升级、React 18 CDN 的 React Router 6.30.4 升级、对应锁文件和版本契约测试。
• Protected areas not touched: 未修改 workflow、发布脚本、apps/**、website/**、生成物或缓存。packages/cdn-react-18 是本次 security: 评估生产依赖审计中的 high 风险传递链 #414 已确认的安全修复范围。
• User-visible behavior: React 18 CDN 保持 React Router v6 API，修复旧版路由依赖的 high 风险链；联邦类型 ZIP 处理链改用不含 adm-zip@0.5.10 的上游补丁版本。

Evidence and changes

• pnpm audit --prod --json：high 从 22 降至 20；adm-zip 记录、packages__cdn-react-18 high 记录均已消失。
• @module-federation/* 直接依赖从 ^2.8.0 更新至 ^2.8.1，锁文件解析 @module-federation/dts-plugin@2.8.1 使用 adm-zip@0.6.0。
• react-router-dom 从 6.30.1 更新至 6.30.4（解析 @remix-run/router@1.23.3）。
• 新增 React Router manifest/lockfile 契约测试，并同步联邦依赖契约。

Directory Boundary Check

• 未改动 apps/** 或 website/**。
• packages/cdn-react-18 版本线改动已由 security: 评估生产依赖审计中的 high 风险传递链 #414 的确认范围授权。
• 未创建仓库内历史工作流目录。
• 未提交生成物、缓存或本地索引。

Validation

• corepack pnpm workflow:check
• git diff --check 与 git diff --cached --check
• corepack pnpm exec rstest run --config rstest.config.ts test/toolchain.rules.test.ts（12 passed）
• corepack pnpm ci:verify
• corepack pnpm empbuild

Review

• 独立只读审阅：无 P0/P1；已吸收 P2 的 React Router 版本契约。
• code-review-graph build 成功（437 files / 2382 nodes / 15241 edges）；detect-changes/impact 无法指定 build 使用的外部数据目录，阻塞已补充至 chore: 对齐 code-review-graph CLI 调用契约 #409，未伪造图谱结论。
• 关联 Issue：Refs security: 评估生产依赖审计中的 high 风险传递链 #414、chore: 对齐 code-review-graph CLI 调用契约 #409。
• 残余风险：仍有 20 high、13 moderate 依赖告警；本 PR 不以 override 隐藏它们。React Router v6 的剩余 moderate 告警需后续单独评估 v7 迁移或替代方案。

Rollback

回滚本 PR 的单个 merge commit，即可恢复原有依赖解析；无需数据迁移或发布操作。