fix(dev): make dependency install registry-agnostic and npm 12 compatible

.npmrc

@@ -0,0 +1,16 @@
+# lockfile 不记录 registry 主机，保持与镜像源/官方源解耦
+#
+# 依据：
+# - 若 lockfile 写死 tarball 主机（resolved），在镜像环境生成后会污染仓库；
+#   npm 12 起默认拒绝下载与当前 registry 主机不一致的远程包（EALLOWREMOTE），
+#   导致官方 registry 用户无法 npm install/ci。
+# - 启用本配置后，lockfile 只保留 name/version/integrity，安装时由各用户
+#   自己的 registry 现场解析下载地址：官方用户直连、镜像用户自动走镜像，
+#   无需任何改写机制，也不会再触发 EALLOWREMOTE。
+#
+# 注意：
+# - 仅 npm >= 12 认识此键；更旧版本会忽略它（旧版无上述限制，不受影响），
+#   但添加新依赖时会重新写入 resolved，请用
+#   `npm install --package-lock-only --ignore-scripts` 重新规范化 lockfile。
+# - 其他包管理器（pnpm/yarn/bun）不读取此键，各有自己的 lockfile 生态。
+omit-lockfile-registry-resolved=true