fix(security): 修复 CLI CSS Modules 传递依赖风险

[ckken]

背景

Issue #414 跟踪的 CLI 生产依赖链仍命中 minimatch/brace-expansion 的 ReDoS/DoS advisory：typescript-plugin-css-modules@5.2.0 → stylus@0.62.0 → glob@7.2.3 → minimatch@3.1.2 → brace-expansion@1.1.15。同一锁文件的 glob@10.5.0 → minimatch@9.0.9 → brace-expansion@2.1.1 也落后于修复版本。

改动

• 仅更新 pnpm-lock.yaml：minimatch@3.1.2 → 3.1.5、brace-expansion@1.1.15 → 1.1.18、brace-expansion@2.1.1 → 2.1.4。
• 所有升级均在现有依赖范围内；未修改 manifest、公开 API、配置或发布工作流。

证据与风险

• npm registry 的 version、integrity、依赖与 engines 与 lockfile 完全匹配。
• 目标 CLI 链的 audit findings 已清零；生产 high 从 23 降至 14。
• 剩余 high 风险（Vue2/SVGO、sass-embedded/immutable、Rsdoctor/fast-uri、PostCSS、Socket.IO、undici）不在本 PR 范围，由 Issue security: 评估生产依赖审计中的 high 风险传递链 #414 继续跟踪。

验证

• corepack pnpm install --frozen-lockfile --ignore-scripts
• corepack pnpm workflow:check
• corepack pnpm ci:verify
• corepack pnpm empbuild
• corepack pnpm --filter @empjs/cli test
• corepack pnpm audit --prod --json（剩余 advisory 使命令返回非零；目标链无 finding）
• stylus/minimatch/brace-expansion 最小行为 smoke
• code-review-graph：1 个锁文件、0 源码节点、0 受影响流程、0 测试缺口、风险 0.00

回滚

单一锁文件提交可直接 revert。

关联 Issue：#414

未触及受保护的 apps、website、packages/cdn-、packages/lib- 与发布工作流。

[ckken]

自动化审阅（2026-08-05）

未发现阻断问题（P0/P1/P2 均无 actionable finding）。

• 实际 diff 仅 pnpm-lock.yaml 32 行：minimatch@3.1.2 → 3.1.5、brace-expansion@1.1.15 → 1.1.18、2.1.1 → 2.1.4，所有 snapshot 引用同步，旧版本无残留。
• registry versions、integrity、依赖范围与 engines 一致；CLI 链实际解析为 stylus@0.62.0 → glob@7.2.3 → minimatch@3.1.5 → brace-expansion@1.1.18，runtime smoke 通过。
• corepack pnpm install --frozen-lockfile --ignore-scripts、workflow:check、ci:verify、empbuild、CLI 测试均通过；GitHub CI 的 apps/build/Node 20.19/22.12/24 全部成功。
• 生产审计 high 当前为 14，目标 CLI 链无 finding；其余非目标 advisory 随 registry 时点变化，均不计入本 PR 的合并门禁。CodeGraph：1 个锁文件、0 源码节点、0 受影响流程、0 测试缺口、风险 0.00。

残余 high 风险仍由 Issue #414 跟踪，属于其他依赖链，不构成本 PR 阻断。此评论不构成 approve。