chore(share): 升级 Module Federation 依赖至 2.8.2

[ckken]

背景

核心依赖扫描发现 @module-federation/rspack、@module-federation/runtime、@module-federation/runtime-tools 的稳定版本从 2.8.1 更新到 2.8.2；@module-federation/sdk 同步保持同一 2.8.2 线。官方 v2.8.2 release notes 包含 ESM remote entry retry 修复、SSR stylesheet 去重以及 undici 7.28.0 → 7.29.0。

改动

• 将 packages/emp-share 四个 Module Federation 依赖更新为 ^2.8.2。
• 重算 pnpm-lock.yaml，闭包统一到 2.8.2，@module-federation/dts-plugin 同步到 2.8.2，undici 同步到 7.29.0；未引入其他独立版本变更。
• 更新 Module Federation 版本契约，断言旧 2.8.1 锁条目不再残留。

目录边界

• 未修改 apps/**、website/**、packages/cdn-*、packages/lib-* 或受保护发布工作流。
• 未提交生成物、缓存或 CodeGraph 数据。

验证

• corepack pnpm install --frozen-lockfile：通过。
• corepack pnpm --filter @empjs/share test：通过。
• corepack pnpm test:toolchain：12/12 通过。
• corepack pnpm workflow:check：通过。
• corepack pnpm ci:verify：通过（含规则 49/49、CLI、包测试与 release check）。
• corepack pnpm empbuild：通过。
• CodeGraph：build 439 files/2427 nodes/15549 edges；update 4 files；detect 风险 0.30、0 affected flows、0 test gaps；rsConfig flow 23 nodes/depth 4；静态 tests_for 对 share 源码未建立关联，但实际 share 测试已执行。
• 浏览器 smoke 已执行；runtime-sdk.browser.ts 通过，但 library-global.browser.ts 的 /container-static/emp-share/sdk.js 加载和 force-remote.browser.ts 的 mf-host iframe 全局注入失败，复现为现有 harness/container 静态资源边界问题；直接 static/container HTTP smoke 可返回 sdk.js 200，未观察到依赖断言失败。

风险与回滚

• 运行时 API 未改，风险集中在上游 2.8.2 的 retry/SSR 行为和 transitive lockfile 闭包；回滚可恢复四个 manifest specifier 与锁文件到 2.8.1。
• pnpm audit --prod --json 当前为 16 high / 14 moderate / 2 low / 0 critical，目标 Module Federation 链未命中 advisory；剩余审计链不在本 PR 范围。

关联 Issue：#412

Reviewer 可在该分支重跑上述命令。

[ckken]

独立只读复核结论

未发现阻断问题（P0/P1=0）。

已核验

• packages/emp-share 四个 Module Federation 依赖与 pnpm-lock.yaml 闭包统一到 2.8.2；@module-federation/dts-plugin 的 undici 为 7.29.0，与官方 v2.8.2 release note 一致。
• peer/API 形状与当前 Rspack 2.1.8、TypeScript 7.0.2 兼容；运行时/插件调用链未改。
• @empjs/share 测试、toolchain 12/12、workflow:check、ci:verify、empbuild 通过；GitHub CI 5/5 全绿。
• 生产 audit 仍有既存链，当前 16 high / 14 moderate / 2 low / 0 critical；本 PR 未命中 Module Federation advisory。

残余风险

• P2：library-global.browser.ts 的 /container-static/emp-share/sdk.js 资源加载和 force-remote.browser.ts 的 mf-host iframe 全局注入在本地 Chromium harness 失败；runtime-sdk.browser.ts 通过，直接 static/container HTTP smoke 能返回 sdk.js 200。该失败未指向 2.8.2 断言，但浏览器层仍未形成全绿证据。
• CodeGraph detect：4 changed files、risk 0.30、0 affected flows、0 test gaps；rsConfig flow 23 nodes/depth 4。静态 tests_for 对 share 源码未建立关联，已由实际包测试补足。

建议保持 PR 范围不扩展，后续单独修复浏览器 harness 路由/iframe 全局准备。