chore(cli): 升级 Rspack core 至 2.1.8

[ckken]

背景

核心依赖扫描将 @rspack/core 2.1.5 → 2.1.8 标记为 EVALUATE（critical、patch）。官方 v2.1.8 发布说明包含 runtime/binding 修复、CSS/HMR 改进与持久缓存语义对齐；EMP 当前配置只生成默认持久缓存选项，没有使用需迁移的 cache.storage.directory。

上游发布说明：https://github.com/web-infra-dev/rspack/releases/tag/v2.1.8

改动

• 将 packages/cli 的精确 @rspack/core 依赖更新到 2.1.8。
• 重算 pnpm-lock.yaml 中 Rspack native binding 及 peer snapshot 闭包。
• 更新 CLI Rspack 版本 shape 断言和 toolchain contract。
• 未修改公共 API、发布工作流或受保护的 apps/website/cdn/lib 目录。

风险与回滚

• 这是同 Node/peer 范围内的 patch；官方迁移提示涉及的 storage.directory 未出现在 EMP 配置路径。
• 可通过回退提交 cf32df46 恢复到 2.1.5。
• 当前生产审计为 17 high / 12 moderate / 1 low / 0 critical；Rspack core 本身未命中 finding，剩余链路继续由 Issue security: 评估生产依赖审计中的 high 风险传递链 #414 分链跟踪。

验证

• corepack pnpm install --frozen-lockfile
• corepack pnpm test:toolchain：12/12
• corepack pnpm --filter @empjs/chain build
• corepack pnpm --filter @empjs/cli test
• corepack pnpm --filter @empjs/cli test:real：80/80
• corepack pnpm workflow:check
• corepack pnpm ci:verify：通过（含规则/集成 49 项）
• corepack pnpm empbuild
• code-review-graph：build/update/detect-changes/impact/flows/flow/tests_for 已完成；4 个变更文件、0 affected flows、0 test gaps、风险 0.30，影响分析 24 direct / 40 within 2 hops（展示上限 40）。

关联：Issue #414

[ckken]

独立复核结论（非批准）

基于实际提交 cf32df46b609c9d3cf8c16bcea56ddd8f32d74b7 与 origin/main 的只读复核：未发现 P0/P1/P2 可复现阻断问题。

• diff 仅 4 个文件；锁闭包为 @rspack/core/全平台 native bindings 2.1.5 → 2.1.8，以及 resolver closure 的 @emnapi patch 更新；无旧 Rspack 2.1.5 残留。
• npm engines 与 peerDependencies 在 2.1.5/2.1.8 间保持兼容；EMP 未使用 v2.1.8 说明中需要迁移的 cache.storage.directory。
• 本地 test:toolchain 12/12、CLI shape/real tests（80/80）、workflow:check、ci:verify、empbuild 均通过；远端 CI 5/5 success。
• code-review-graph 已完成 build/update/detect-changes/impact/flows/flow/tests_for：4 个变更文件、风险 0.30、0 affected flows、0 test gaps；impact 在 depth=2 下为 24 direct / 40 展示内受影响节点（结果有截断）。tests_for 对 Rspack 配置实现未建立静态关联，属于图谱验证边界，不等同于测试失败。

残余风险：native binding 的跨平台安装闭包和更广泛 Rspack 插件路径未逐一做生产探针；当前检查与全量构建已覆盖本仓库门禁。此评论不代表自批准。

[ckken]

合并后补充 P2 兼容发现

独立 reviewer 在合并后完成了缓存边界实测：Rspack 2.1.8 对 storage.directory: /tmp/exact-cache 会将最终 storage.location 规范化为 /tmp/exact-cache/<cache.name>。EMP 当前 CacheOptions 透传没有迁移/告警，已有 shape test 未覆盖 directory/location。

这不是 PR #423 的 CI/P0/P1 阻断，但属于公共配置语义的 P2 兼容风险，已单独创建 Issue #424 记录证据、方案与验收标准；等待用户确认后再实施运行时迁移或文档+回归测试。