🔒 Zerar alertas de segurança (Dependabot + Code Scanning) e modernizar toolchain → v4.0.0

[andrenfe]

Contexto

O repositório acumula 9 alertas de segurança abertos, todos restritos a
dependências de desenvolvimento, scripts e CI — o pacote publicado (nfe-io)
tem zero dependências de runtime e não expõe consumidores a nenhum deles.

Origem	Alerta	Severidade	Item	Ação
Dependabot	#34	🔴 Crítica	vitest < 3.2.6 (GHSA-5xrq-8626-4rwp)	Upgrade para vitest 4 (PR 2)
Dependabot	#35	🟡 Baixa	esbuild < 0.28.1 (GHSA-g7r4-m6w7-qqqr)	Eliminado pela migração tsup → tsdown (PR 2)
CodeQL	#1–3	🟡 Média	GITHUB_TOKEN sem permissions mínimas no ci.yml	Corrigir (PR 1)
CodeQL	#6	🔴 Alta	Sanitização incompleta em scripts/download-openapi.ts	Remover script morto (PR 1)
CodeQL	#5, #7, #8	🔴/🟡	Código legado v2 em lib/ (morto: não importado, não publicado, não executa)	Deletar lib/ (PR 1)

Plano de execução

PR 1 — Hardening rápido (bugfix/code-scanning-alerts)

• Adicionar permissions: contents: read no nível do workflow em ci.yml
• Remover scripts/download-openapi.ts e o script download:spec do package.json
  (todos os endpoints retornam 404; as specs são mantidas manualmente em openapi/spec/)
• Deletar lib/ (código legado v2 morto: ninguém importa, não é publicado no pacote,
  e depende de when, que não está declarada nem instalada — o v2 vive no histórico git
  e no nfe-io@2.x do npm) + atualizar menções no CLAUDE.md

PR 2 — Modernização do toolchain (chore/modernize-build-toolchain)

• Migrar tsup → tsdown (Rolldown; remove esbuild do pipeline de build)
• Atualizar vitest 3.2.4 → 4.x (+ @vitest/ui, @vitest/coverage-v8)
• Atualizar tsx → 4.22.x (esbuild residual já na versão corrigida 0.28.1)
• Elevar piso de Node para ≥22 (engines, build target, matriz de CI 22/24, docs)
  — Node 18 e 20 estão EOL
• Atualizar actions dos workflows para majors Node 24-ready
  (checkout@v6, setup-node@v6, upload-artifact@v7, github-script@v9, codecov@v7)
  — runners mudam para Node 24 em 16/06/2026
• Skill embarcada: renomear nfeio-sdk → nfeio-node-sdk (diretório + frontmatter +
  agents.skills do package.json, hoje com path quebrado) — fixa a convenção cross-SDK
  antes do publish no skills.sh — e atualizar "Node.js 18+" → "22+" no SKILL.md
• Versão v4.0.0 (package.json + VERSION) + CHANGELOG + seção v3 → v4 no MIGRATION.md

⚠️ Breaking change (v4.0.0)

Único requisito novo: Node.js ≥ 22. Nenhuma mudança de API — quem está em
Node ≥22 atualiza sem alterar código. Usuários em Node 18/20 (EOL) permanecem
no nfe-io@3.2.x.

Critério de fechamento

Security tab zerada: 2 alertas Dependabot fechados e 7 CodeQL corrigidos
(nenhum dismiss — tudo resolvido por correção ou remoção de código).

[andrenfe]

Progresso

✅ PR1 (#32) merged — os 8 alertas CodeQL constam como fixed no re-scan do master (incluindo o #4, pré-existente).

📌 Alerta novo durante a execução: Dependabot #36 — esbuild GHSA-gv7w-rqvm-qjhr (verificação de integridade de binário no Deno), range < 0.28.1. Já resolvido pelo PR2 (#33), que traz esbuild 0.28.1 — fecha junto com #34 e #35 no merge.

⏳ PR2 (#33) aberto, CI em andamento. Placar: 8/11 fixed, 3 restantes (Dependabot #34, #35, #36) fecham com o merge do #33.

[andrenfe]

✅ Concluído — Security tab zerada

Placar final: 11/11 alertas resolvidos, nenhum dismiss.

Origem	Alertas	Estado	Via
CodeQL	#1–8 (8 alertas)	fixed	PR #32 (permissions CI + remoção de código morto)
Dependabot	#34 vitest (crítica)	fixed	PR #33 (vitest 4.1.8)
Dependabot	#35 esbuild (baixa)	fixed	PR #33 (tsup→tsdown; esbuild residual 0.28.1)
Dependabot	#36 esbuild (nova, surgiu durante a execução)	fixed	PR #33 (mesma correção)

npm audit: 0 vulnerabilidades.

Extras entregues além do escopo original

• publint + attw 100% verdes: exports com types por condição (index.d.ts ESM / index.d.cts CJS) corrige o Masquerading as ESM que a v3 publicada tinha
• sideEffects: false para tree-shaking
• Skill nfeio-node-sdk pronta para o skills.sh (descoberta validada contra o código do CLI)

Próximo passo (fora desta issue)

Publicar a v4.0.0 no npm: criar a release/tag v4.0.0 no GitHub — o workflow publish.yml dispara automaticamente (com npm publish --provenance).