security: isolate source-map-js 1.2.2 denial-of-service patch

[AureliusWu]

范围

独立修复 GHSA-68fv-2mgg-jv7q / CVE-2026-93749。PR base 为 codex/v16.0.0-m3-continuation，不是 main，不触发生产发布。

锁文件仅 source-map-js 1.2.1 → 1.2.2 的 version/resolved/integrity 三字段改变；其余109 entry inventory、Vite/PostCSS/OCR版本、package.json、五项安装脚本策略、业务源码和构建配置不变。

上游公告：GHSA-68fv-2mgg-jv7q
上游修复：7rulnik/source-map-js#79

本地验证

• 官方冻结 npm ci --ignore-scripts；policy 复核，仅既有 esbuild installer。
• npm audit --audit-level=high：0 vulnerabilities。
• 全量892 tests / 889 pass / 0 fail / 3 Windows条件skip；syntax192。
• 合成桌面E2E 23/23（54.4s），无真实Gist/持仓/截图上传。
• 64MiB/5s有界实际API探针PASS：合法indexed映射路径，21非法/越界/乱序拒绝；没有执行旧版资源耗尽payload。
• 两轮同411父epoch构建关键指纹fc15bbea5b692a9c52aa99e4c2d01d407e0f238dd61607b27b26c4b90a5aba64，与补丁前相同；app/OCR bytes/SHA核验通过。

仍有独立阻断

M3 all gzip 81,195 > 77,227.7 B，仍需至少减少3,968B。预算不放宽；CI最后预算步骤预计仍红，不能据此发布/M3 EXIT。父411 CI在audit失败，后续test/build/E2E均skipped，不继承为本PR检查结果。版本仍15.0.2，未merge main/deploy/bump。

详见 docs/v16.0.0/M3_STATUS.md 第24节及 m3-source-map-security-20261011.json。回滚点411f49d；回退会重新引入已知漏洞，不可作为可发布状态。

[chatgpt-codex-connector]

You have reached your Codex usage limits for code reviews. You can see your limits in the Codex usage dashboard.
To continue using code reviews, you can upgrade your account or add credits to your account and enable them for code reviews in your settings.