[release] v0.1.2 周期依赖升级跟踪（10 dependabot PR 集中处理）

[loong10k]

背景

v0.1.1（2026-08-28）发布后，dependabot 在 8/27 批量推送了 10 个 PR，为保护已上线的 crates.io 版本全部关闭：

• 6 个 cargo 依赖（多为 major bump）
• 4 个 GitHub Actions（跨多个 major 版本）

PR 已关、分支已删。需要把这些升级统一到 v0.1.2 周期处理。

待评估升级清单

Cargo 依赖（6 项，多数为 major bump）

包	当前 (Cargo.lock)	目标	主要风险
rand_core	0.6.4	0.10	API 重构；用于 rsa 依赖链
x509-cert	0.2.5	0.3.0	主要用于 pay v3 证书解析；API 改动较大
md-5	0.10.6	0.11.0	WxRust 不直接使用（传递依赖）
redis	0.29.5	1.6.0	major；feature 标记与 API 重命名；feature="redis" 路径需重测
criterion	0.5.1	0.8	bench harness API 改动；workspace benches/ 需复核
quick-xml	0.41.0	0.42.0	pay XML 报文路径需回归验证（黄金用例对照）

GitHub Actions（4 项）

Action	当前	目标	风险
actions/checkout	v4	v7	nodejs 20+
actions/upload-artifact	v4	v7	nodejs 20+
codecov/codecov-action	v4	v7	覆盖率上传协议可能变
softprops/action-gh-release	v2	v3	release 流程需验证

验收标准

• 每一项升级在独立 feature 分支上完成 cargo test --workspace 全绿
• cargo clippy --workspace --all-targets --all-features -- -D warnings 零警告
• cargo llvm-cov --workspace --fail-under-lines 60 通过
• 涉及 pay/cp XML 报文的（quick-xml）走黄金用例对照
• CI 工作流（.github/workflows/*.yml）在升级后跑通至少一次
• 在 v0.1.2 发布前完整运行 bash scripts/publish-precheck.sh 通过

不在范围

• rsa 0.10 stable 升级（Phase D 独立跟踪；依赖上游发布）
• 工作流去 OIDC token 等安全升级（v0.1.2 之后再议）

关联

• v0.1.1 Release：https://github.com/easy-4-rust/WxRust/releases/tag/v0.1.1
• 关闭的 10 个 PR：chore(deps): bump actions/upload-artifact from 4 to 7 #5 chore(deps): update quick-xml requirement from 0.41.0 to 0.42.0 #6 chore(deps): bump softprops/action-gh-release from 2 to 3 #7 chore(deps): update criterion requirement from 0.5 to 0.8 #8 chore(deps): bump codecov/codecov-action from 4 to 7 #9 chore(deps): bump actions/checkout from 4 to 7 #10 chore(deps): update redis requirement from 0.29.0 to 1.6.0 #11 chore(deps): update md-5 requirement from 0.10.6 to 0.11.0 #12 chore(deps): update x509-cert requirement from 0.2.5 to 0.3.0 #13 chore(deps): update rand_core requirement from 0.6 to 0.10 #14

提案执行顺序

1. 先升级 actions（最低风险，先验 CI 流程）
2. 再升 minor 改动（md-5、quick-xml 小版本）
3. 最后升 major（redis、criterion、x509-cert）—— 每个独占分支验证
4. 全部通过后打 v0.1.2 tag + 批量发布

[loong10k]

v0.1.2 发布完成（2026-08-28）

10/10 crate 已全部 0.1.2 上线（GitHub tag v0.1.2，crates.io API 实测确认）。

实际升级情况

CHANGELOG.md 0.1.2 段已如实记录：

• 0/6 依赖实际升级——cargo update 在 workspace rust-version=1.85 与 rsa 0.9.x 锁链双重约束下拒绝 6 个依赖
• CI 元数据升级（与 easyexcel-rust 对齐）：toolchain 固定 1.97.1、concurrency、CODEOWNERS、PR template、dependabot 限流

依赖升级决策（下一周期）

用户决策点：

1. 上调 workspace MSRV（1.85 → 1.89）：解锁 md-5 0.11、quick-xml 0.42、x509-cert 0.3
2. rsa 0.10 stable（Phase D 跟踪）：解锁 rand_core 0.10.1
3. 单独特性分支：redis 1.6（major API 重写）、criterion 0.8（bench harness API 变更）

下一步建议：在 0.1.3 周期先决策 1（MSRV 上调），它解锁最广泛，影响最小。

[loong10k]

v0.1.3 实际完成（2026-08-28）

原 0/6 升级判定在 v0.1.2 无法执行，v0.1.3 通过 MSRV 1.85→1.89 解锁后实际完成 5/6：

依赖	版本	状态
quick-xml	0.41→0.42	✅ API 适配（name()/xml_content，5 文件）
x509-cert	0.2→0.3	✅ getter 适配（tbs_certificate() 等）
md-5	0.10→0.11	✅ 声明放宽
redis	0.29→1.6	✅ 源码兼容
criterion	0.5→0.8	✅ black_box 迁移
rand_core	0.6→0.10	⏳ 未升级（rsa 0.9.x 锁链双版本，待 Phase D rsa 0.10 stable）

另修 chacha20 yanked（0.10.1→0.10.2）。验证：3589 tests、clippy 0、CI full 23/23 全绿。Release: https://github.com/easy-4-rust/WxRust/releases/tag/v0.1.3