fix(security): 修复 CLI glob 的 brace-expansion 风险

[ckken]

背景

npm 审计新增 GHSA-rgw5-rvv9-x895：packages/cli → glob@11.1.0 → minimatch@10.2.6 → brace-expansion@5.0.8 仍受影响；修复版本为 >=5.0.9。该路径属于已由 #416 确认的 CLI glob 链。

改动

• 仅更新 pnpm-lock.yaml：brace-expansion 5.0.8 → 5.0.9；随同一 glob → path-scurry 闭包刷新 lru-cache 11.5.1 → 11.5.2。
• 未修改 manifest、公开 API、配置或发布工作流。

验证

• corepack pnpm install --frozen-lockfile
• corepack pnpm workflow:check
• corepack pnpm ci:verify
• corepack pnpm empbuild
• corepack pnpm audit --prod --json：high 24 → 23，移除上述 brace-expansion@5 高危路径。
• code-review-graph：1 个变更文件、0 源码节点、0 受影响流程、0 测试缺口，风险 0.00。

风险与回滚

其余 high 风险来自 Stylus、ESLint、Vue2、Rsdoctor 等独立链，仍由 #414 跟踪。若出现解析/构建回归，revert 本 PR 的单一锁文件提交即可。

关联 Issue: #414

[ckken]

自动化审阅（2026-08-05）

未发现阻断问题（P0/P1/P2 均无 actionable finding）。

• 实际 diff 仅 pnpm-lock.yaml：brace-expansion@5.0.8 → 5.0.9 与同闭包 lru-cache@11.5.1 → 11.5.2；registry integrity、engines 与 lockfile 一致，未残留旧版本。
• corepack pnpm install --frozen-lockfile、corepack pnpm workflow:check、corepack pnpm ci:verify、corepack pnpm empbuild 均通过；生产审计 high 为 23，GHSA-rgw5-rvv9-x895 的 5.0.8 路径已消失。
• code-review-graph：1 个变更文件、0 源码节点、0 受影响流程、0 测试缺口、风险 0.00；PR CI 的 apps/build/Node 20.19/22.12/24 全部成功。

残余风险：brace-expansion 1.x/2.x 旧链及其他 high 仍由 Issue #414 分链跟踪；它们不属于本 PR 的 5.x 闭包范围。此评论不构成 approve。