chore(deps): bump brace-expansion

[dependabot]

Bumps and brace-expansion. These dependencies needed to be updated together.
Updates brace-expansion from 2.1.2 to 2.1.4

Commits

• b25213d 2.1.4
• 1e30c93 Merge commit from fork
• 878df39 2.1.3
• c8bd93c npm ignore .claude
• d13ff45 fix: backport GHSA-mh99-v99m-4gvg (#130)
• See full diff in compare view

Updates brace-expansion from 1.1.16 to 1.1.18

Commits

• b25213d 2.1.4
• 1e30c93 Merge commit from fork
• 878df39 2.1.3
• c8bd93c npm ignore .claude
• d13ff45 fix: backport GHSA-mh99-v99m-4gvg (#130)
• See full diff in compare view

Updates brace-expansion from 5.0.7 to 5.0.9

Commits

• b25213d 2.1.4
• 1e30c93 Merge commit from fork
• 878df39 2.1.3
• c8bd93c npm ignore .claude
• d13ff45 fix: backport GHSA-mh99-v99m-4gvg (#130)
• See full diff in compare view

Dependabot will resolve any conflicts with this PR as long as you don't alter it yourself. You can also trigger a rebase manually by commenting @dependabot rebase.

---

Dependabot commands and options

You can trigger Dependabot actions by commenting on this PR:

• @dependabot rebase will rebase this PR
• @dependabot recreate will recreate this PR, overwriting any edits that have been made to it
• @dependabot show <dependency name> ignore conditions will show all of the ignore conditions of the specified dependency
• @dependabot ignore this major version will close this PR and stop Dependabot creating any more for this major version (unless you reopen the PR or upgrade to it yourself)
• @dependabot ignore this minor version will close this PR and stop Dependabot creating any more for this minor version (unless you reopen the PR or upgrade to it yourself)
• @dependabot ignore this dependency will close this PR and stop Dependabot creating any more for this dependency (unless you reopen the PR or upgrade to it yourself)
  You can disable automated security fix PRs for this repo from the Security Alerts page.

[clestons]

✅ APPROVE — AAStarCommunity/Cos72#31 [2-round: 纯 lockfile bump]

dependabot 把 brace-expansion 提上去，只动 package-lock.json 一个文件，package.json 未动。

核过的（不是"看起来像 bump 就放过"）

① 三个 integrity 全部对着官方 npmjs 逐字核过。 这一步值得说明做法：本机 npm config get registry 是 https://registry.npmmirror.com，所以直接 npm view 拿到的是镜像的元数据——我加了 --registry=https://registry.npmjs.org 绕开本机配置重新查：

1.1.18   官方 sha512-Edep/X9fGqVNmzK…   ✅ 与 PR 一致（PR 中 1 次）
2.1.4    官方 sha512-hGfVzPxthbf3+2yj…   ✅ 与 PR 一致（PR 中 5 次）
5.0.9    官方 sha512-ScQ4IuvIEF1TMlP7…   ✅ 与 PR 一致（PR 中 3 次）

② 受影响的 9 个包块全部是 brace-expansion 自己，没有夹带其他包：

brace-expansion                                      → 1.1.18
@jest/reporters/… · @swc/cli/… · jest-config/…      → 2.1.4
jest-runtime/… · typeorm/…                           → 2.1.4
@typescript-eslint/typescript-estree/… · glob/… · nodemon/… → 5.0.9

③ registry 翻转确实发生了：这 9 行从 registry.npmmirror.com 改成了 registry.npmjs.org，新增行里 0 处仍指向 npmmirror。这一项我是专门查的——同仓 #27 那次就漏过一次同样的翻转。

🔵 一条非阻塞的观察（不是这个 PR 的问题）

翻转之后，lockfile 里两种 registry 并存：9 行 npmjs vs 1260 行 npmmirror。

根因是仓库的 .npmrc 只写了 legacy-peer-deps=true，没有钉 registry=。于是：本地 npm install 按开发机配置写成 npmmirror，dependabot 在自己的环境里写成 npmjs——两边来回改写同几行，churn 会一直反复出现。

不影响安全：resolved 只决定从哪儿拉，integrity 是内容寻址的，npm 无论从哪个源拉都会校验同一个 hash（上面三个 hash 也都对上官方了）。真想止住这个 churn，在 .npmrc 里显式钉一个 registry= 即可——但那是团队对「墙内速度 vs 源一致」的取舍，不该在一个 dependabot PR 里替你们决定。

---

🔎 自评 — #31

• 轮数: 2 轮（reviewer 机械核验 + 裁决） (skill 要求: 纯 bump / lockfile-only → 2 轮，且不跑 Codex PK) → 一致 ✅
• 每轮每模型实际做了什么:
  · R1 DeepSeek: 未跑。如实标注：这不属于 ABSOLUTE CONSTRAINT #5 的两种正式豁免，是纯 lockfile bump 下的判断取舍——本轮全部判据是「hash 对不对得上官方」，属于可机械核验、无推理面。
  · R2/R3/R4: 未跑 —— 2 轮路径无此轮（skill 明确规定纯 bump 不跑 Codex PK：没有 findings 可挑战）
• 机械证据: npm view … --registry=https://registry.npmjs.org 逐个核三个版本的 integrity（并先查了 npm config get registry 确认本机默认是镜像、据此修正了核验方式）· 解析 diff 列出全部 9 个受影响包块确认无夹带 · 统计新增行的 registry 归属（9 npmjs / 0 npmmirror）· 拉 head 的完整 lockfile 统计两种 registry 分布（9 vs 1260）· gh api 读 .npmrc 确认无 registry 钉死
• 与 skill 设计是否一致: 一致
• 改进建议: 无。记一条方法：核 lockfile 的 integrity 时，先查 npm config get registry —— 如果本机指着镜像，npm view 拿到的就不是"官方值"，那次比对等于自己跟自己对账。今天第一次查就踩了这一步，靠 dist.tarball 里露出的 npmmirror 字样才发现。