chore(repo): 升级 pnpm 基线到 10.34.5

[ckken]

背景

仓库核心依赖扫描将 pnpm 10.33.0 -> 10.34.5 标记为唯一 EVALUATE 候选。pnpm v10.34.5 包含 lockfile/manifest 路径遍历防护与 workspace proxy 占位符保护；Node engine 与 EMP 当前支持范围兼容。

改动

• 根 package.json、CI、受保护发布 workflow、release guard 统一到 [email protected]。
• 同步 apps acceptance、CLI Agent 模板/测试、release smoke、规则测试和项目文档中的固定版本引用，共 15 个文件。
• pnpm-lock.yaml 无依赖图变化，因此未改动。

证据与风险

• 旧版本 10.33.0 全仓库引用已清零；当前契约引用统一为 10.34.5。
• 变更触及发布 workflow，但只改变包管理器补丁/次版本基线，不改变发布权限、凭据或发布策略。
• 生产 audit 仍有既有 16 high / 14 moderate / 2 low / 0 critical 传递链；这些由 Issue security: 评估生产依赖审计中的 high 风险传递链 #414 跟踪，不宣称由本 PR 修复。
• 回滚方式：回滚提交 3b96832f，恢复原 10.33.0 契约。

验证

• corepack pnpm --version：10.34.5
• corepack pnpm install --frozen-lockfile：通过
• corepack pnpm workflow:check：通过
• corepack pnpm test:rules：49/49 通过
• corepack pnpm ci:verify：通过
• corepack pnpm empbuild：通过
• 独立 reviewer 初审发现 package manager baseline drift 测试误测 Node engine；已在提交 32161e05 补充错误 packageManager 拒绝断言并拆出 Node engine 回归测试。
• CodeGraph 最终：15 changed files、120 direct nodes、120 within 2 hops、46 additional files、0 affected flows、risk 0.80；validateReleasePlan 关联 4 个测试。

关联 Issue：#428

合并范围

• 未修改启动目录用户脏改动。
• 未修改 pnpm-lock.yaml、发布策略、凭据或 Netlify 退役配置。
• 请按仓库必需 CI 与 review 门禁合并。

[ckken]

独立只读复核

• P0/P1：未发现阻断问题。
• 初审 P2：test/release.rules.test.ts 的 package-manager baseline drift 测试实际只修改 Node engine；已由提交 32161e05 修复，新增错误 packageManager 拒绝断言，并保留独立 Node engine 回归测试。
• 最终静态证据：15 个版本契约统一 10.34.5，旧 10.33.0 引用清零；CodeGraph risk 0.80、0 affected flows、validateReleasePlan 关联 4 个测试。
• 残余风险：CodeGraph 仍报告 3 个结构性 test gap；真实 publish/Trusted Publisher 未在本地执行，依赖 GitHub CI 与发布门禁。

此评论为非批准复核。