build(Deps): 5 项开发依赖一次性收编合入——vitest 5 / vsce 4 / ovsx 1.2 / ts-eslint 8.70 / esbuild 0.28.2

[ThreeFish-AI]

背景

dependabot 当前有 5 个 open PR（#127–#131），全部已正确打向 feature/1.x.x（PR #75 锚定 target-branch 的成果），基线无需切换。但五者全部只改 package.json + pnpm-lock.yaml——@vscode/vsce 与 esbuild 在 devDependencies 中是相邻行，lockfile 更是全文冲突。逐个点 Merge 意味着：合入任意一个，其余 4 个立刻变 CONFLICTING，需逐个 @dependabot rebase 并重跑整轮 CI，共 5 轮串行。

本 PR 按 #75 确立的范式，把五项升级合并为单个 PR 只重生一次 lockfile，并修复根因避免每周复发。

依赖升级

依赖	变更	性质	原 PR
@vscode/vsce	3.9.2 → 4.0.0	major	#131
vitest	4.1.10 → 5.0.1	major	#127
ovsx	1.1.1 → 1.2.0	minor	#130
typescript-eslint	8.68.0 → 8.70.0	minor	#129
esbuild	0.28.1 → 0.28.2	patch	#128

两项 major 都把 Node 基线抬至 22（vitest 5 的实际下界 ^22.12.0 是全集最紧的一条），与 CI 四个 job 的 node-version: 22 一致。

lockfile 漂移审计：新旧 lockfile 的包条目集合逐项比对，675 条中的全部增删均可溯源至这五项升级及其传递闭包——vitest 5 把 @vitest/expect|runner|snapshot|utils|pretty-format 内联进主包，vsce 4 换入 marked@18 + parse5@8 + @azure/identity@4.13.3（替下 markdown-it + cheerio）。未改 spec 的 eslint / typescript / vite / prettier / mocha / @types/node / @stylistic/eslint-plugin 版本零变化。

pnpm-workspace.yaml 维持不变：allowBuilds 的 @vscode/vsce-sign / esbuild / keytar 三项一个都不能删——ovsx@1.2.0 仍声明 @vscode/vsce: ^3.7.1，vsce 3.9.2 连同其 keytar@7.9.0 optionalDep 继续在树中，@vscode/vsce-sign 现为 2.0.9 / 2.1.0 双版本。删任一项即重现 issue.md #2 的 ERR_PNPM_IGNORED_BUILDS。

合并方式

与 #75 的一处差异：本 PR 的分支以 git merge -s ours 额外收编了五个 dependabot PR 的 head commit（c6c40fb b1d4648 bc01176 8ef36c5 ef6c9c1），产出一个 6-parent 的血缘登记提交，工作树与前一提交完全一致（树以一次性重生的 lockfile 为准）。

这样做的唯一目的：让五个 PR 的 head commit 成为 feature/1.x.x 的祖先，合并后由 GitHub 自动标记为 Merged 而非 Closed——#75 未携带 dependabot commit，其取代的 4 个 PR 最终都是 CLOSED。

因此本 PR 必须以 merge commit 落地（gh pr merge --merge）。squash 会重写 SHA，血缘断裂，五个 PR 会退化为 Closed。

根因修复

.github/dependabot.yml 此前无 groups 配置，每个依赖各开一个 PR，且 open-pull-requests-limit: 5 已被打满——这正是本次要手工合并 5 个共改 lockfile 的 PR 的根因。本 PR 为两个 ecosystem 补上分组：

• npm：开发依赖的 minor/patch 聚合为单个 PR（dependency-type: development + update-types: [minor, patch]）。major 刻意不入组，仍逐项单开——本次两个 major 各自带来 Node 基线抬升与打包管线换引擎，正说明这个评估与回滚粒度有价值。
• github-actions：全量聚合（patterns: ['*']）。爆炸半径限于 CI 工作流本身，且 major 升级属例行（checkout 4→7、setup-node v6→v7），单开只会制造同类噪声。

既有的 ignore（@types/vscode、typescript major）与 open-pull-requests-limit: 5 保持不变。

验证

本地（Node 24.14.0 / pnpm 12.2.1，与 packageManager 字段一致）：

• ✅ pnpm install：无 ERR_PNPM_IGNORED_BUILDS，@vscode/vsce-sign 的 postinstall 正常执行；pnpm-workspace.yaml 未进 diff。
• ✅ pnpm run check-types（tsc --noEmit）零错误。
• ✅ pnpm run lint（eslint 10.9.1 + typescript-eslint 8.70.0 + @Stylistic 5.10.0）零错误。
• ✅ pnpm run package（check-types + lint + esbuild 0.28.2 --production）产出 dist/extension.js 252 KB。
• ✅ pnpm run test:unit（vitest 5.0.1）：46 文件 / 429 用例全通过（4.93s）。其中含 3 处 vi.mock('vscode', factory)（branch-favorites / changelist-registry / commit-service）——vscode 无 on-disk 实体、依赖 mocker 拦截裸 specifier，而 vitest 5 重写了 @vitest/mocker，这是本次升级最可能踩的点，实测无碍。
• ✅ pnpm run test:integration（@vscode/test-electron 拉起真实 VS Code 1.138.0 + mocha）：主 suite 8 passing (26s)、多根工作区 suite 4 passing，进程退出码 0。
• ✅ vsce 4.0.0 打包回归（针对 glob@13 → tinyglobby 与 markdown-it + cheerio → marked@18 + parse5@8 两处换引擎）：vsce ls 文件集合 17 项与升级前完全一致（唯一差异是遍历顺序）；vsce package 产出 VSIX 19 项内容清单一致、1.46 MB；解包后的 extension/README.md 与升级前逐字节相同——README 中 <picture>/<source srcset> 与相对文档链接的重写行为无回归。
• ⏭ macOS / Windows 矩阵仅在 push 到 feature/1.x.x 后触发；vsce 4.0.0 新增的「legacy PAT 凭证迁移提示」只在 v* tag 的 publish job 路径生效，本 PR 的 CI 覆盖不到，留待下一个 tag 验证。

权威：本 PR 的 GitHub Actions CI（on: pull_request）在 feature/1.x.x 基线上运行 Lint & Build / Test (ubuntu-latest) / Package vsix，以 Node 22 验证五项升级的组合兼容性。

取代

本 PR 收编以下 dependabot PR，合并后将由 GitHub 自动标记为 Merged：

• chore(deps-dev): bump @vscode/vsce from 3.9.2 to 4.0.0 #131 @vscode/vsce 3.9.2 → 4.0.0
• chore(deps-dev): bump ovsx from 1.1.1 to 1.2.0 #130 ovsx 1.1.1 → 1.2.0
• chore(deps-dev): bump typescript-eslint from 8.68.0 to 8.70.0 #129 typescript-eslint 8.68.0 → 8.70.0
• chore(deps-dev): bump esbuild from 0.28.1 to 0.28.2 #128 esbuild 0.28.1 → 0.28.2
• chore(deps-dev): bump vitest from 4.1.10 to 5.0.1 #127 vitest 4.1.10 → 5.0.1

🤖 Generated with Claude Code

Co-Authored-By: Claude Opus 5 (1M context) noreply@anthropic.com