chore(deps-dev): bump browserslist from 4.28.5 to 4.28.9

[dependabot]

Bumps browserslist from 4.28.5 to 4.28.9.

Release notes

Sourced from browserslist's releases.

4.28.9

• Improve or parsing performance (by @​NotAFlightRisk).

4.28.8

• Fixed including kaios in baseline queries (by @​Jaybhade).

4.28.7

• Improved parsing performance.
• Fixed unbounded memory growth (by @​alanturing881).
• Fixed prototype write issue (by @​alanturing881).

4.28.6

• Fixed Electron version queries (by @​spokodev).

Changelog

Sourced from browserslist's changelog.

4.28.9

• Improve or parsing performance (by @​NotAFlightRisk).

4.28.8

• Fixed including kaios in baseline queries (by @​Jaybhade).

4.28.7

• Improved parsing performance.
• Fixed unbounded memory growth (by @​alanturing881).
• Fixed prototype write issue (by @​alanturing881).

4.28.6

• Fixed Electron version queries (by @​spokodev).

Commits

• 12ed525 Release 4.28.9 version
• b1d8cf9 Update dependencies
• 21517b6 Improve or parsing performance
• f2f2e6c Release 4.28.8 version
• d0787c8 Update dependencies
• fcf8fa9 Merge pull request #939 from Jaybhade/fix/baseline-kaios-without-downstream
• 57ecd64 fix: support "including kaios" without downstream
• 093a0f6 Update EM banner
• b637868 Release 4.28.7 version
• 313f465 Update dependencies
• Additional commits viewable in compare view

Dependabot will resolve any conflicts with this PR as long as you don't alter it yourself. You can also trigger a rebase manually by commenting @dependabot rebase.

---

Dependabot commands and options

You can trigger Dependabot actions by commenting on this PR:

• @dependabot rebase will rebase this PR
• @dependabot recreate will recreate this PR, overwriting any edits that have been made to it
• @dependabot show <dependency name> ignore conditions will show all of the ignore conditions of the specified dependency
• @dependabot ignore this major version will close this PR and stop Dependabot creating any more for this major version (unless you reopen the PR or upgrade to it yourself)
• @dependabot ignore this minor version will close this PR and stop Dependabot creating any more for this minor version (unless you reopen the PR or upgrade to it yourself)
• @dependabot ignore this dependency will close this PR and stop Dependabot creating any more for this dependency (unless you reopen the PR or upgrade to it yourself)
  You can disable automated security fix PRs for this repo from the Security Alerts page.

[clestons]

APPROVE —— [2-round]，一条注记，不阻塞。@ 9715468c6a26726c822614ac679d73f668af9539

作者意图：dependabot 把 dev 侧传递依赖 browserslist 4.28.5 → 4.28.9。只动 package-lock.json，无源码。

这个 PR 顺带做了一件标题没说的事：翻了 6 个包的 registry

diff 里每一个 resolved 都从 registry.npmmirror.com 变成了 registry.npmjs.org。我量了整个 lockfile 的分布，而不是只看 diff：

base 8eb45509  npmmirror=1269   npmjs=0   其他=2   总 resolved=1271
head 9715468c  npmmirror=1263   npmjs=6   其他=2   总 resolved=1271

这不是一次迁移的中途，是第一道裂缝 —— 合并前这个 lockfile 是 100% npmmirror（1269/1269 可解析条目），本 PR 引入头 6 条 npmjs。而 dependabot 永远对着默认 registry 解析，所以此后每一个 dependabot PR 都会把它碰到的包翻过去，lockfile 会逐步变成混合状态。

但我不把它当阻塞项，理由是量出来的，不是感觉：

我以为可能成立的	实测
「仓库有意选了 npmmirror，这是违反策略」	❌ 没有任何地方声明 registry：.npmrc 里只有 legacy-peer-deps=true（附带注释解释 React 19 peer），.github/、package.json、.yarnrc* 全无 registry 配置。那 1269 条是当初谁跑 npm i 时本地 npm 配置带出来的，不是仓库决定
「会装不上」	❌ CI 全绿，含两个真 npm run build（aastar 59s、aastar-frontend 1m14s）+ Code Quality ×2 + CodeQL。这就是「装得上吗」的直接读数

（正对照：同一个 grep 量具在 .github/ 上找 runs-on 命中 2 个文件，所以上面那个「registry 配置为空」是真空集，不是量具没工作。）

所以真正的发现不是「dependabot 改了 URL」，而是：这个仓库 lockfile 用哪个 registry 完全没人管，取决于最后一个跑 npm i 的人的本机配置。 现在方向是往规范源走（npmjs 是上游，provenance 更好），但它是偶然而非选择。

处方（要么做，要么明确不做，别悬着）：如果 npmmirror 是有意的（比如境内网络），在 .npmrc 里写 registry=https://registry.npmmirror.com 并让 dependabot 走同一个源；如果不是，那就一次性把 lockfile 归一到 npmjs，别留 1263/6 这种混合态。判据：grep -c 'registry\.npmmirror\.com' package-lock.json 与 grep -c 'registry\.npmjs\.org' 应当有一个是 0。

版本升级本身：我核到源头了

integrity 逐条对着 registry 现读比对（不是读 diff 觉得合理）：

browserslist@4.28.9            lock == npm view dist.integrity   ✅
caniuse-lite@1.0.30001810      lock == npm view dist.integrity   ✅
update-browserslist-db@1.3.2   lock == npm view dist.integrity   ✅

三条全部逐字一致 —— 这是 lockfile 变更里唯一真正承重的安全属性，它成立。

其余核对：

• 7 个改动条目全部属于 browserslist 依赖树（baseline-browser-mapping / caniuse-lite / electron-to-chromium / node-releases / update-browserslist-db 是它 dependencies 里逐条列出的，版本下限也同步抬了）。没有夹带无关包。
• dev 标记零变动 —— diff 里 +/- "dev": true 命中为 0，所以没有 devDependency 悄悄变成生产依赖这一类。
• browserslist 不是直接依赖：package.json 里 grep browserslist|caniuse 为空，纯传递，所以不需要同步改 package.json。
• package-lock.json 之外零文件改动，resolved 总数 1271 前后不变（没有新增/删除包）。

---

APPROVE —— 就 AAStarCommunity/Cos72 而言，这个 PR 可以直接合并。上面那条 registry 注记不是这个 PR 的缺陷，是它暴露出来的一格仓库级待办；建议单独处理，不要卡这个 bump。

_{🔎 R1(DeepSeek-flash) 这轮命中了：它自己指出了 registry 从 npmmirror 翻到 npmjs.org（Low），严重度判断也与我一致。值得记一笔——同一个仓库的 #27 上，它漏掉的正是这一类 registry 翻转。}

https://claude.ai/code/session_01JvzkVc5FfVVQuiGQ41VM5V