build(Deps): 主线归并 feature/1.x.x —— 5 项开发依赖升级（vitest 5 / vsce 4）· dependabot 分组根除 lockfile 连环冲突

[ThreeFish-AI]

背景

本 PR 是 feature/1.x.x → master 的主线归并，承载 #132 合入后 feature/1.x.x 相对主干的全部增量：dependabot 五项开发依赖升级（#127–#131）的一次性收编，以及根除其复发源的 .github/dependabot.yml 分组配置。

这不是发版同步 PR：package.json 的 version 两侧同为 0.0.18（未 bump），CHANGELOG 条目落在 [Unreleased] 之下、未开新版本节——与 #123 / #118 / #114 的 chore(release): 同步 vX.Y.Z 至 master 性质不同。归并动机是把 build 层变更及时推平到主干，避免两条长生命周期分支继续漂移、在下次发版时积压成大 diff。

变更内容

4 文件 / +417 / -323：

文件	变更	说明
pnpm-lock.yaml	+392 / -318	五项升级一次性重生，非逐个 rebase 叠加
.github/dependabot.yml	+15 / -0	两个 ecosystem 补 groups（根因修复）
package.json	+5 / -5	devDependencies 五行 spec
CHANGELOG.md	+5 / -0	[Unreleased] 下两条 Build 记录

1. 五项开发依赖升级

依赖	变更	性质	原 PR
@vscode/vsce	3.9.2 → 4.0.0	major	#131
vitest	4.1.10 → 5.0.1	major	#127
ovsx	1.1.1 → 1.2.0	minor	#130
typescript-eslint	8.68.0 → 8.70.0	minor	#129
esbuild	0.28.1 → 0.28.2	patch	#128

两项 major 均把 Node 基线抬至 22（vitest 5 的 ^22.12.0 是全集最紧的一条），与 CI 各 job 的 node-version: 22 一致。pnpm-workspace.yaml 的 allowBuilds 三项维持不变——ovsx@1.2.0 仍传递依赖 @vscode/vsce@^3.7.1，删任一项都会重现 issue.md #2 的 ERR_PNPM_IGNORED_BUILDS。

lockfile 675 条包条目的逐项漂移审计、vsce 4 换引擎（markdown-it + cheerio → marked@18 + parse5@8）的打包回归比对，详见 #132，此处不再复述。

2. dependabot 分组（根因修复）

原配置无 groups，每个依赖各开一个 PR 且 open-pull-requests-limit: 5 已打满，五者共改 pnpm-lock.yaml → 合入任意一个，其余立刻 CONFLICTING。本次为两个 ecosystem 补分组，且两者取舍刻意不同：

• npm dev-minor-patch：dependency-type: development + update-types: [minor, patch] 聚合为单 PR；major 不入组，仍逐项单开——本轮两个 major 各自带来 Node 基线抬升与打包管线换引擎，正说明逐个评估与回滚的粒度有价值。
• github-actions：patterns: ['*'] 全量聚合——爆炸半径限于 CI 工作流本身，且 major 升级属例行（checkout 4→7、setup-node v6→v7），单开只制造同类噪声。

既有的 ignore（@types/vscode、typescript major）与 open-pull-requests-limit: 5 保持不变。

验证

本 PR 的 GitHub Actions 全绿：

• ✅ Lint & Build
• ✅ Test (ubuntu-latest) / Test (macos-latest) / Test (windows-latest)
• ✅ Package vsix
• ✅ dependabot 配置校验（.github/dependabot.yml）

#132 遗留项已闭合：#132 当时将「macOS / Windows 矩阵仅在 push 到 feature/1.x.x 后触发」标记为 ⏭，本 PR 的跨平台矩阵已实际跑过并通过——这是本轮升级首次获得三平台覆盖。

仍未覆盖的边界（诚实标注）：Publish 与 GitHub Release (.vsix) 两个 job 为 SKIPPED（仅 v* tag 触发），vsce 4.0.0 新增的 legacy PAT 凭证迁移提示只在该路径生效，留待下一个 tag 验证。

合并方式

必须以 merge commit 落地（gh pr merge --merge），严禁 squash。

理由是结构性的而非风格偏好：feature/1.x.x 是长生命周期分支。squash 会重写 SHA，使其不再是 master 的祖先，下一次主线归并将产出包含全部历史的虚假 diff，两线永久分叉。master 的既有历史中，#123 / #118 / #114 / #85 / #84 / #81 / #79 无一例外均为 Merge pull request #NNN from ThreeFish-AI/feature/1.x.x。

关联

• build(Deps): 5 项开发依赖一次性收编合入——vitest 5 / vsce 4 / ovsx 1.2 / ts-eslint 8.70 / esbuild 0.28.2 #132 —— 五项 dependabot PR 的收编实施与完整升级审计（本 PR 内容的来源）
• chore(deps-dev): bump vitest from 4.1.10 to 5.0.1 #127 / chore(deps-dev): bump esbuild from 0.28.1 to 0.28.2 #128 / chore(deps-dev): bump typescript-eslint from 8.68.0 to 8.70.0 #129 / chore(deps-dev): bump ovsx from 1.1.1 to 1.2.0 #130 / chore(deps-dev): bump @vscode/vsce from 3.9.2 to 4.0.0 #131 —— 已由 build(Deps): 5 项开发依赖一次性收编合入——vitest 5 / vsce 4 / ovsx 1.2 / ts-eslint 8.70 / esbuild 0.28.2 #132 的血缘收编标记为 Merged

🤖 Generated with Claude Code