[kairowan]

改动

cargo deny check advisories 发现并修复以下可安全升级的公告：

• zstd 0.13.3 → 0.13.4
• zstd-safe 7.2.4 → 7.4.0
• zstd-sys 2.0.16 → 2.1.2（RUSTSEC-2026-0410）
• rustls 0.23.41 → 0.23.46（RUSTSEC-2026-0285/0346/0348/0349）
• rustls-webpki 0.103.13 → 0.103.16（RUSTSEC-2026-0382）
• tokio 1.52.3 → 1.54.1（RUSTSEC-2026-0386）
• webpki-roots / webpki-root-certs → 1.0.11（RUSTSEC-2026-0381/0383）

API19 独立锁文件保持 Cargo lockfile v3，兼容 Rust 1.77.2，并同步升级 zstd 三项。

验证

• cargo test -p shield-core、-p shield-cli、-p shield-ios、-p mocika-shield
• cargo test -p shield-core connection_probe_real_tls -- --ignored
• cargo test --manifest-path shield-stub/src/main/rust/Cargo.toml
• make build-stub build-byos build-byos-play
• make audit-stub-dex
• API19 资源构建通过（Rust 1.77.2）

剩余非阻塞公告

• zip 2.4.2 的多条公告要求 >=9.0.0，属于跨大版本升级，涉及 APK/ZIP 读写 API；本轮不改，单独评估。
• proc-macro-error、unic-* 等为无人维护公告，无安全升级路径，保持记录。
• CI 的依赖审计任务本身是 continue-on-error，不作为 CI 通过 门禁。