[numbers-official]

建置 workflow 原本僅指定 Node 22，未要求安全 patch 下限；部分 JavaScript actions 仍宣告 Node 20。本變更保留 Node 22 建置，以 >=22.23.4 <23 與 check-latest: true 選取符合安全下限的版本，runner 未預載時由 setup-node 正規下載。

• CI checkout／setup-node 升為 v6；Release action-gh-release 升為 v3，Chrome 上傳 action 升為 v6.0.0，均宣告 Node 24。
• 套件 engines 宣告 ^22.23.4 || ^24.22.1 || ^26.12.1，同步 lockfile 根 metadata 與 README。
• 變更限 5 個檔案。extension 原始碼、依賴版本、workflow 權限、既有憑證輸入及 publish: false 行為均保持原樣。Chrome 上傳 action v7 需要額外 publisher-id，不納入本次 Node 更新。

驗證環境為 Node 22.23.4／npm 10.9.9：npm ci、型別檢查、build、ZIP、actionlint 通過。lint 為 0 errors／17 warnings，與 main 基準逐項相同。相同測試 manifest 下，21 個產物與原始 main 的 SHA-256 完全一致，ZIP 內容與 dist 相符。

JavaScript action 的內建 Node patch 由 GitHub runner 管理，與 setup-node 安裝的建置 Node 分開核對。正式 Release 為 workflow_dispatch，本次以 CI 與本機打包驗證，不為測試而建立正式版本或上傳商店。

依使用者授權，僅在同一確切 head 的獨立 harness review 與 GitHub CI 通過後合併。

實際 PR CI（run 40852399874，第 1／2 次）均通過，建置 Node 已確認 v22.23.4。GitHub 仍分配 runner 2.338.0，其上游套件設定 NODE24_VERSION=24.21.0，低於指定24.22.1；新版 runner2.338.2已包含24.22.1，但尚未分配到本 job。setup-node不會更換 action 內建 runtime，因此本變更不宣稱該 patch 已更新。未修改 runner 私有 externals，也未擴大至自訂runner或重寫發布流程。

[numbers-official]

獨立 harness-dev Reviewer（claude-opus-5-5，單次 loop 59dc22dc-8279-5146-a8c1-ca9da5ac8a57）已對 head e46d57fe33cda037fa9208d8034af3016986219e 給出 PASS（5/5），無阻塞問題。

Reviewer 自行以 base/head 各執行 npm ci、型別、lint、build 與 head ZIP 驗證：21 個建置產物 SHA-256 相同；lint 原有17 warnings／0 errors逐項相同；src與依賴版本不變。PR CI run 40852399874 最新第2次亦成功，head相同，實際建置 Node v22.23.4。

已保留一項外部限制：GitHub 此次仍分配 runner2.338.0，其上游內建Node24為24.21.0，尚低於24.22.1。新版runner2.338.2已提供24.22.1，repo的setup-node不會覆蓋action內建runtime。此項已揭露，不修改runner私有路徑或擴大到自訂runner；獨立Reviewer判斷非本PR阻塞、不構成回歸。

依使用者「review + CI 通過授權合併」指示，條件已滿足，採一般squash merge並以match-head-commit固定已審查提交。完整審查紀錄留於本工作區.omni/harness-dev/review-notes.md。