feat(workflow): 增加核心依赖升级判断

[ckken]

背景

每日自动化此前依赖自由分析，没有确定性检查 npm stable 与 beta/rc/next 通道，导致 Rslib 1.0 Beta、Rspack、Rstest 等升级候选可能被安全修复或 Review 通道长期遮蔽。

改动

• 新增核心依赖策略文件，覆盖 Rspack、Rslib、Rsbuild、Rstest、Module Federation、TypeScript、pnpm、SWC 等核心栈。
• 新增只读升级判断脚本，同时读取 manifest、lockfile、npm dist-tags、发布时间、engines、peerDependencies 与项目配置命中。
• 区分 CURRENT、EVALUATE、DEFER_COOLDOWN、MANUAL_REVIEW、ERROR。
• 对预发布、major、0.x minor、peer/engine 变化和迁移配置命中强制人工评审。
• pnpm 按项目支持的 latest-10 判断；过滤 dev/canary/nightly 噪声；私有 registry 不写入报告。
• 新增 Markdown/JSON 输出与 --fail-on review/update 门禁。

实时证据

当前扫描得到：3 项 MANUAL_REVIEW、3 项 DEFER_COOLDOWN、4 项 EVALUATE、4 项 CURRENT。Rslib 0.23.2 -> 1.0.0-beta.1 命中 15 个 rslib.config.* 文件。

验证

• corepack pnpm install --frozen-lockfile
• node --test test/core-dependency-upgrade-check.test.mjs（7/7）
• corepack pnpm workflow:check
• corepack pnpm test:toolchain（12/12）
• corepack pnpm ci:verify
• corepack pnpm empbuild
• corepack pnpm --silent deps:core:check -- --format json
• git diff --cached --check

风险与回滚

脚本只读 npm Registry 和仓库文件，不修改依赖或锁文件。升级策略可由 JSON 调整。回滚本提交即可移除命令、策略和测试。

关联 #412。