build(deps): Bump sharp from 0.35.3 to 0.35.5 in /packages/dsh-loopx-plugin

[dependabot]

Bumps sharp from 0.35.3 to 0.35.5.

Release notes

Sourced from sharp's releases.

v0.35.5

https://github.com/lovell/sharp-libvips/releases/tag/v1.3.4

• Add upper bounds check on length of linear and GIF delay arrays.

• Improve error handing when WebAssembly fallback also fails. #4593 @​lazerg

• TypeScript: Allow multi-frame options for JXL output. #4602 @​ramin-010

• TypeScript: Remove non-existent named export. #4604

• Increase accepted dimensions when extending an image. #4605

• Improve gain map support for extract and rotate operations. #4606

• Tests: Ensure composite tests pass on big endian platforms. #4609

v0.35.5-rc.1

https://github.com/lovell/sharp-libvips/releases/tag/v1.3.4-rc.1

• Add upper bounds check on length of linear and GIF delay arrays.

• Improve error handing when WebAssembly fallback also fails. #4593 @​lazerg

• TypeScript: Allow multi-frame options for JXL output. #4602 @​ramin-010

• TypeScript: Remove non-existent named export. #4604

• Increase accepted dimensions when extending an image. #4605

• Improve gain map support for extract operation. #4606

... (truncated)

Commits

• 51a990f Release v0.35.5
• 96de105 Upgrade to sharp-libvips v1.3.4
• 3a61390 CI: Configure Dependabot with all package.json locations
• 4940c50 Improve gain map support for rotate/flip/flop ops
• 20654aa Prerelease v0.35.5-rc.1
• ef4f934 CI: Upgrade to Ubuntu 26.04
• 358df95 Upgrade to libvips v8.18.7
• 49f4903 Improve gain map support for rotate-then-extract #4606
• 0e2e55e Silence a couple of compiler/static analysis warnings
• cef3b8c Improve gain map support for extract operation #4606
• Additional commits viewable in compare view

[loopx-agent]

Reviewer: model_agent — gpt-6.1-sol / OpenAI; runtime_reported; reasoning_effort=xhigh.

动机

维护 DSH 插件的开发者在全新检出后安装固定版本依赖。 基线的固定锁文件安装成功，PR 却在相同 pnpm 版本和相同离线输入下因 override 不一致而失败。 当前补丁尚不能完成可重复安装；恢复既有 override 后才可继续验证 sharp 更新。 本次只评估依赖锁文件更新，不新增图像功能，也不证明所有平台的原生二进制兼容。

改动思路

锁文件继续复用现有依赖解析边界，但必须保留 manifest 的既有约束。 当前 PR 仅更新 sharp 与配套 libvips，恢复无关 override 是最小修复。 sharp 是 DSH 开发依赖经宿主包引入的图像处理库，升级应沿既有 pnpm 解析和平台选择完成。当前重复安装成本来自锁文件违反现有 manifest，而不是缺少一个新升级流程。

具体改动

关键代码讲解

• overrides / importers（packages/dsh-loopx-plugin/pnpm-lock.yaml:7）：Removed override no longer agrees with unchanged package manifest。锁图的平台、引擎约束需继续保留，版本变动本身不证明安装通过。
• sharp@0.35.5 snapshots（packages/dsh-loopx-plugin/pnpm-lock.yaml:11572）：Sharp and optional platform libraries move together; unrelated archive pin must be retained。锁图的平台、引擎约束需继续保留，版本变动本身不证明安装通过。

规格：packages/dsh-loopx-plugin/README.md，不可变修订 3a1a92ebd3e168b0e93e788b1127fb73e035f79c。

• pnpm-qualification：implemented — Qualification uses pnpm 10.33.0; use that version for reproducible source and isolated-registry checks.
• frozen-source-install：not_met — Run pnpm install --frozen-lockfile --ignore-scripts before validation.

全量差异为一个锁文件 +125/-123，sharp 0.35.3→0.35.5、libvips 1.3.2→1.3.4；同时删掉 override 并把 libreoffice-kit 的 fflate 退回 0.8.2，这个无关变化需撤回。上游修复详情见 sharp v0.35.5，这次没有把上游发布声明当成本仓库兼容性证据。

对主干的风险

[P1] 恢复锁文件中的既有 override。 用工作流明确指定的 pnpm 10.33.0，对基线和 PR 的 manifest、workspace、lockfile 副本执行 install --frozen-lockfile --ignore-scripts --lockfile-only --offline：基线退出 0，PR 退出 1，报 ERR_PNPM_LOCKFILE_CONFIG_MISMATCH。这发生在网络、图像处理和构建之前，影响普通源检出路径。最小修复为保留 @deepseek-ai/libreoffice-kit>fflate: 0.8.3，重新生成锁文件后重跑固定安装、build、typecheck 和插件测试。首次用了主机 pnpm11，其离线元数据失败且已不读 package.json 的 pnpm 配置；该试验不能证明此 PR 问题，以上固定 pnpm10 的成对证据才是判断依据。图像处理和其他原生平台尚未验证，当前不会给升级本身兼容性背书。

我的整体评价

当前 PR 仅更新 sharp 与配套 libvips，恢复无关 override 是最小修复。 当前长程效果与体验为 regression：全新安装中断会把一次依赖维护变成反复手动修复。升级可能有补丁收益，但这个 exact head 的净效果为负；应完成上述最小修复后重审，无需引入新策略。

Exact head: 5806@f69aa13c0fb3cf39da20aa5759b8b41a51177446.

English verdict: REQUEST_CHANGES — The pinned frozen installation regresses; retain the existing override and regenerate the lockfile.