[Chore] release bump workflow가 Cargo workspace version까지 동기화

[JeremyDev87]

배경

release bump가 npm package version만 바꾸면 Rust workspace package version과 설치 CLI 버전 계약이 분리됩니다. 향후 release bump에서 npm/Cargo version source를 함께 움직이도록 자동화합니다.

변경 사항

• bump script가 root package.json, Cargo.toml [workspace.package] version, Cargo.lock workspace package entries를 함께 갱신
• manual-release-bump workflow changed-file guard를 package.json/Cargo.toml/Cargo.lock version-only 집합으로 확장
• 기존 open bump PR 재사용 검증이 npm optionalDependencies, Cargo.toml, Cargo.lock version을 모두 확인
• 현재 workspace Cargo metadata를 기존 npm version 0.3.7로 정렬
• bump-release-version 테스트에 Cargo 동기화 회귀 추가

검증

• node --test test/bump-release-version.test.js
• npm run verify
• cargo test --workspace
• git diff --check
• Devil's Advocate review gate: Critical 0 / High 0 / Medium 1 / Low 0

잔여 Medium

• Cargo.lock 누락 시 dry-run과 non-dry-run 실패 지점이 완전히 같지는 않다는 Medium 지적이 있었습니다. 현재 repo에는 Cargo.lock이 있고 정상 release path에서는 갱신되므로 merge blocker는 아니라고 판단했습니다.

브랜치 / 워크트리

• base: master
• branch: chore/85-cargo-version-sync
• worktree: /private/tmp/kratos-v1-wave1/issue-85

이슈 연결

Closes #85

[JeremyDev87]

독립 fresh-session 리뷰 결과

• Verdict: APPROVE
• Severity Summary: Critical 0 / High 0 / Medium 1 / Low 0
• Findings:
  • [Medium] scripts/bump-release-version.mjs 및 .github/workflows/manual-release-bump.yml: Cargo.lock이 없으면 bump script는 이를 허용하고 dry-run도 통과할 수 있지만, non-dry-run은 git add package.json Cargo.toml Cargo.lock에서 실패합니다. 현재 repo에는 Cargo.lock이 있고 정상 release path는 이를 갱신하므로 PR 문맥에서는 Critical/High가 아니라 Medium으로 유지합니다.
• Rationale: Cargo workspace version과 lockfile workspace package version 동기화 경로에 merge 차단급 결함은 보이지 않았습니다. node --test test/bump-release-version.test.js 재실행은 통과했고, 현재 PR CI의 Node/Rust 기본 검증은 성공, native packaging은 pending이라 실패로 보지 않았습니다.

Note: GitHub 정책상 self-authored PR에는 공식 approve를 제출할 수 없어 동일한 verdict를 PR comment로 남깁니다.