fix(infra): pnpm 工具链去脆弱化 —— frontend/package.json 落 packageManager pin + deploy.sh pnpm 版本断言（fail-closed）

① frontend/package.json 补 "packageManager": "pnpm@10.33.2+sha512.a90faf6f…"：
   corepack 在项目未声明该字段时按全局 lastKnownGood.json 解析版本，而该文件会被任何跑过
   corepack 的项目改写（2026-10-13 → 12.11.2 ⇒ MODULE_NOT_FOUND；2026-10-14 → 9.15.9 ⇒
   packages field missing）。pin 落库后 corepack 只认 pin，宿主机状态漂移不再影响部署树。
   选 10.33.2 的依据：pnpm-workspace.yaml 的 allowBuilds 仅 pnpm 10 识别；部署树 node_modules
   .modules.yaml packageManager=pnpm@10.33.2（store/v11/v10）；lockfileVersion 9.0；2026-10-13
   22:53 该版本下部署成功。
② deploy.sh 新增 assert_pnpm_version()（fail-closed，两处调用：1.2a 首次 pnpm 调用前、[2] 构建前）：
   期望版本只取自 package.json 的 packageManager（单一源），与 pnpm -v 实读逐字比对，缺失/不一致
   即中止；两次调用都先于 [3] 铺站与 [5] 重启 ⇒ 任何生产写之前失败关闭。

零生产写：候选仅落本 worktree 分支，未 push、未动 /srv/hermes/shared/cma-deploy 与 dev 树。

frontend/package.json

@@ -51,5 +51,6 @@
     "unplugin-vue-components": "^32.0.0",
     "vite": "^5.0.0",
     "vue-tsc": "^3.2.7"
-  }
+  },
+  "packageManager": "pnpm@10.33.2+sha512.a90faf6feeab71ad6c6e57f94e0fe1a12f5dcc22cd754db40ae9593eb6a3e0b6b12e3540218bb37ae083404b1f2ce6db2a4121e979829b4aff94b99f49da1cf8"
 }