chore(rslib): 验证 1.0.0-beta.2 构建迁移

[ckken]

背景

关联 Issue：#430。维护者已确认方案 A：在隔离分支验证 @rslib/[email protected]，先暴露 v1 迁移风险，不直接发布 npm。

证据

2026-08-13 的核心依赖扫描完整结论为 ERROR=0、MANUAL_REVIEW=3、DEFER_COOLDOWN=4、EVALUATE=0、CURRENT=7。@rslib/core stable 仍为 0.23.2，本 PR 仅针对已确认的 beta 候选 1.0.0-beta.2。

改动

• 根 package.json 与 packages/rslib-presets/package.json 锁定 @rslib/[email protected]。
• 按 Rslib v1 迁移指南，将 4 个配置中的 lib.autoExternal 迁移为等价的 output.autoExternal。
• 更新锁文件，记录 beta 引入的 [email protected]、@rsbuild/[email protected] 与传递性的 @rspack/[email protected]；EMP CLI 直接 Rspack 仍保持 2.1.8。
• 增加工具链约束、.d.cts、emp-share 声明入口、UMD/CDN/HTTP smoke 回归断言。

风险与回滚

• @rspack/[email protected] 是 Rslib beta 经 Rsbuild 2.1.11 引入的传递依赖，核心依赖扫描仍将其标为 DEFER_COOLDOWN；本 PR 未把它作为独立升级主题。
• CodeGraph 标记 getBrowserSdkConfig 与两个 getRuntimeUmdConfig 没有静态 tests_for 关联，但实际构建、产物、声明和 HTTP smoke 已覆盖调用路径。
• 回滚为恢复两个 manifest、pnpm-lock.yaml 与四个配置文件到 @rslib/[email protected] 版本；不涉及发布工作流。

验证

• corepack pnpm install --frozen-lockfile --ignore-scripts
• corepack pnpm workflow:check
• corepack pnpm check:rslib-presets
• corepack pnpm empbuild
• corepack pnpm test:toolchain（12/12）
• corepack pnpm test:plugins（11/11）
• corepack pnpm test:cli（80/80）
• corepack pnpm test:packages
• corepack pnpm test:library-output（1/1，含 DTS/UMD/HTTP smoke）
• corepack pnpm apps:acceptance（apps 契约 14/14，library-output 1/1）
• corepack pnpm ci:verify（退出 0）
• corepack pnpm audit --prod --json：现有依赖风险为 0 critical / 16 high / 14 moderate / 2 low，未发现 Rslib beta 新增 advisory
• code-review-graph：build 439 files / 2429 nodes / 15624 edges；detect-changes 9 files、risk 0.40；impact 47 direct nodes、120 nodes within 2 hops、44 additional files；tests_for 对三个配置目标返回 0（作为残余风险记录）

不包含发布、Netlify、生成物或强制推送。

[ckken]

独立只读审查结论

• P0/P1/P2：未发现阻断问题。
• 已复核 Rslib beta 依赖切换、4 处 output.autoExternal 迁移、DTS/.d.cts/UMD/CDN/HTTP smoke 与跨包门禁。
• 残余风险：
  1. lockfile 同时存在 @rspack/[email protected] 与 beta 经 Rsbuild 引入的 2.1.9，需持续观察跨插件兼容性；
  2. .d.cts 与声明 shim 依赖构建后复制，本 PR 已做定向产物检查，但未做 fresh publish 独立验证；
  3. CodeGraph 的 tests_for 未关联 3 个配置函数，文本断言与构建 smoke 不能穷尽所有配置分支。

当前 PR head e8fffce2cfc61cb6b9d1cc21f82c13efddf56d17 与已验证 SHA 一致，CI 五项全绿。